CVE-2026-112772
CVE-2026-112772 · Craft CMS 5.0.0 before 5.11.0 RCE via Asset::getMimeType Transform Injection
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
Craft CMS from 5.0.0 before 5.11.0 contains a remote code execution vulnerability that allows authenticated Control Panel users to escape the Twig sandbox via Asset::getMimeType transforms. Attackers can supply 'as' or 'on' keys passed unfiltered to Craft::createObject, attaching malicious behaviors or event handlers that execute code as the web user.
CVSS 8.7 · Hoch · EPSS 0,7% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Betroffene Produkte und Versionen
cms
- Softwareversionen
- ≥ 5.0.0, < 5.11.0: Betroffen (semver)
- 5.11.0: Nicht betroffen (semver)
Auf 5.11.0 aktualisieren