جزئیات آسیب‌پذیری
CVE-2026-32264
craftcms cms
Craft CMS vulnerable to behavior injection RCE ElementIndexesController and FieldsController
CVSS 4.0
8.6بالا
شرح رسمی (انگلیسی)
Craft CMS is a content management system (CMS). From version 4.0.0-RC1 to before version 4.17.5 and from version 5.0.0-RC1 to before version 5.9.11, there is a Behavior injection RCE vulnerability in ElementIndexesController and FieldsController. Craft control panel administrator permissions and allowAdminChanges must be enabled for this to work. This issue has been patched in versions 4.17.5 and 5.9.11.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 8.6بالا | 4.0 | CVEProject cvelistV5 (CNA) (GitHub_M) | CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| craftcms | cms | >= 4.0.0-RC1, < 4.17.5 | CVEProject cvelistV5 (CNA) |
| craftcms | cms | >= 5.0.0-RC1, < 5.9.11 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۴- https://github.com/craftcms/cms/security/advisories/GHSA-4484-8v2f-5748 x_refsource_CONFIRM
- https://github.com/craftcms/cms/security/advisories/GHSA-7jx7-3846-m7w7 x_refsource_MISC
- https://github.com/craftcms/cms/commit/78d181e12e0b15e1300f54ec85f19859d3300f70 x_refsource_MISC
- https://github.com/craftcms/cms/commit/dfec46362fcb40b330ce8a4d8136446e65085620 x_refsource_MISC
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۴/۱۲/۲۵
- آخرین به‌روزرسانی
- ۱۴۰۴/۱۲/۲۶
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- GitHub_M
پیش‌بینی بهره‌برداری (EPSS)
۰٫۵۴٪
احتمال بهره‌برداری در ۳۰ روز
۴۵٫۹٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- خیر
- وضعیت بهره‌برداری
- ندارد
- اثر فنی
- کامل
ضعف‌ها (CWE)
- CWE-470Use of Externally-Controlled Input to Select Classes or Code ('Unsafe Reflection')