p PatchFirst

CVE-2026-112777

CVE-2026-112777 · Craft CMS before 4.18.8 and 5.11.0 Twig create() Blocklist Bypass Leading to RCE

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

Craft CMS 4.x before 4.18.8 and 5.x before 5.11.0 contains a blocklist bypass in the Twig create() function because its class-name checks are case-sensitive while PHP class resolution is not. Attackers with template-execution rights, such as Control Panel administrators, can instantiate SplFileObject via a lowercase class name to read .env secrets or write a PHP file into the webroot for remote code execution.

CVSS 8.7 · Hoch · EPSS 0,6% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Betroffene Produkte und Versionen

  • cms

    Softwareversionen
    • ≥ 4.0.0, < 4.18.8: Betroffen (semver)
    • 4.18.8: Nicht betroffen (semver)

    Auf 4.18.8 aktualisieren

  • cms

    Softwareversionen
    • ≥ 5.0.0, < 5.11.0: Betroffen (semver)
    • 5.11.0: Nicht betroffen (semver)

    Auf 5.11.0 aktualisieren

Originalquellen

Prüfen Sie Ihren Server →