p PatchFirst

CVE-2026-112777

CVE-2026-112777 · Craft CMS before 4.18.8 and 5.11.0 Twig create() Blocklist Bypass Leading to RCE

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

Craft CMS 4.x before 4.18.8 and 5.x before 5.11.0 contains a blocklist bypass in the Twig create() function because its class-name checks are case-sensitive while PHP class resolution is not. Attackers with template-execution rights, such as Control Panel administrators, can instantiate SplFileObject via a lowercase class name to read .env secrets or write a PHP file into the webroot for remote code execution.

CVSS 8.7 · Alta · EPSS 0,6% · Corrección disponible

Publicación
Actualización

Productos y versiones afectados

  • cms

    Versiones
    • ≥ 4.0.0, < 4.18.8: Afectada (semver)
    • 4.18.8: No afectada (semver)

    Actualiza a 4.18.8

  • cms

    Versiones
    • ≥ 5.0.0, < 5.11.0: Afectada (semver)
    • 5.11.0: No afectada (semver)

    Actualiza a 5.11.0

Fuentes originales

Comprueba tu servidor →