CVE-2026-112772
CVE-2026-112772 · Craft CMS 5.0.0 before 5.11.0 RCE via Asset::getMimeType Transform Injection
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
Craft CMS from 5.0.0 before 5.11.0 contains a remote code execution vulnerability that allows authenticated Control Panel users to escape the Twig sandbox via Asset::getMimeType transforms. Attackers can supply 'as' or 'on' keys passed unfiltered to Craft::createObject, attaching malicious behaviors or event handlers that execute code as the web user.
CVSS 8.7 · Alta · EPSS 0,7% · Corrección disponible
- Publicación
- Actualización
Productos y versiones afectados
cms
- Versiones
- ≥ 5.0.0, < 5.11.0: Afectada (semver)
- 5.11.0: No afectada (semver)
Actualiza a 5.11.0