Craft CMS: injeção de SQL sem autenticação no endpoint de pesquisa permite obter acesso de administrador
Afeta o Craft CMS 4.x anterior à 4.18.9 e 5.x anterior à 5.11.2. Uma injeção de SQL sem autenticação no endpoint de pesquisa de elementos permite ler e alterar a base de dados e obter acesso de administrador. CVSS 9,8.
- Identificador: CVE-2026-123488
- Publicado em: 2026-11-06
- Pontuação CVSS (Common Vulnerability Scoring System) versão 3.1: 9.8 (CRITICAL)
Descrição (texto original em inglês):
Craft CMS 4.0.0 before 4.18.9 and 5.0.0 before 5.11.2 contains an unauthenticated SQL injection vulnerability in the element search endpoint because the attribute parameter is concatenated into the query unsanitized and emulated PDO prepares allow stacked statements. Remote attackers can read and write the database, setting the admin flag or overwriting password hashes in the users table to gain administrator access.
- Prova de conceito (PoC) público: identificada pela ferramenta de pesquisa.
- Técnica MITRE ATT&CK (mapeamento do site, com base no tipo de falha descrito no NVD): T1190, Exploração de aplicação exposta à Internet (Exploit Public-Facing Application)
Fontes
- Registo do CVE no NVDnvd.nist.gov
- Referência (github.com)github.com
- Referência (www.vulncheck.com)www.vulncheck.com
- Técnica MITRE ATT&CK T1190attack.mitre.org
Esta página resume as fontes indicadas. Confirme os detalhes técnicos e as versões afetadas na fonte primária antes de agir.