CVE-2026-109308

Nome do Software Vulnerável e Versões Afetadas Craft CMS versões 4.0.0 até 4.18.6 Craft CMS versões 5.0.0 até 5.10.13

Description Usuários autenticados do painel de controle com a permissão performUpdates ou acesso ao utilitário de atualizações podem executar código arbitrário. O problema ocorre porque o parâmetro de requisição updates na função AppController::actionCacheUpdates é passado para o UpdatesModel sem ser processado por Component::cleanseConfig(). Isso permite a injeção de comportamentos e manipuladores de eventos ao fornecer chaves as ou on, como um gadget AttributeTypecastBehavior.

Recommendations Atualize o Craft CMS para a versão 4.18.7 ou posterior. Atualize o Craft CMS para a versão 5.10.14 ou posterior.