CVE-2026-32263
CVE-2026-32263 · Craft CMS vulnerable to behavior injection RCE via EntryTypesController
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
Craft CMS is a content management system (CMS). From version 5.6.0 to before version 5.9.11, in src/controllers/EntryTypesController.php, the $settings array from parse_str is passed directly to Craft::configure() without Component::cleanseConfig(). This allows injecting Yii2 behavior/event handlers via "as" or "on" prefixed keys, the same attack vector as the original advisory. Craft control panel administrator permissions and allowAdminChanges must be enabled for this to work. This issue has been patched in version 5.9.11.
CVSS 8.6 · Élevée · EPSS 0,5% · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: php
Produits et versions concernés
cms
- Versions du logiciel
- >= 5.6.0, < 5.9.11: Concernée
Aucun correctif publié
craftcms/cms Packagist
- Versions du logiciel
- 5.6.0
- 5.6.0.1
- 5.6.0.2
- 5.6.1
- 5.6.10
- 5.6.10.1
- 5.6.10.2
- 5.6.11
- 5.6.12
- 5.6.13
- 5.6.14
- 5.6.15
- 5.6.16
- 5.6.17
- 5.6.2
- 5.6.3
- 5.6.4
- 5.6.5
- 5.6.5.1
- 5.6.6
- 5.6.7
- 5.6.8
- 5.6.9
- 5.6.9.1
- 5.7.0
- 5.7.0-beta.1
- 5.7.0-beta.2
- 5.7.1
- 5.7.1.1
- 5.7.10
- 5.7.11
- 5.7.2
- 5.7.3
- 5.7.4
- 5.7.5
- 5.7.6
- 5.7.7
- 5.7.8
- 5.7.8.1
- 5.7.8.2
- 5.7.9
- 5.8.0
- 5.8.1
- 5.8.10
- 5.8.11
- 5.8.12
- 5.8.13
- 5.8.13.1
- 5.8.13.2
- 5.8.14
- 5.8.15
- 5.8.16
- 5.8.17
- 5.8.18
- 5.8.19
- 5.8.2
- 5.8.20
- 5.8.21
- 5.8.22
- 5.8.23
- 5.8.3
- 5.8.4
- 5.8.5
- 5.8.6
- 5.8.7
- 5.8.8
- 5.8.9
- 5.9.0
- 5.9.0-beta.1
- 5.9.0-beta.2
- 5.9.1
- 5.9.10
- 5.9.2
- 5.9.3
- 5.9.4
- 5.9.5
- 5.9.6
- 5.9.7
- 5.9.8
- 5.9.9
- Plages de versions concernées
- ECOSYSTEM: ≥ 5.6.0, < 5.9.11
Mettez à jour vers 5.9.11