CVE-2026-112772
CVE-2026-112772 · Craft CMS 5.0.0 before 5.11.0 RCE via Asset::getMimeType Transform Injection
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
Craft CMS from 5.0.0 before 5.11.0 contains a remote code execution vulnerability that allows authenticated Control Panel users to escape the Twig sandbox via Asset::getMimeType transforms. Attackers can supply 'as' or 'on' keys passed unfiltered to Craft::createObject, attaching malicious behaviors or event handlers that execute code as the web user.
CVSS 8.7 · Élevée · EPSS 0,7% · Correctif disponible
- Publication
- Mise à jour
Produits et versions concernés
cms
- Versions du logiciel
- ≥ 5.0.0, < 5.11.0: Concernée (semver)
- 5.11.0: Non concernée (semver)
Mettez à jour vers 5.11.0