CVE-2026-123488

Nome do Software Vulnerável e Versões Afetadas Craft CMS versões 4.0.0 até 4.18.8 Craft CMS versões 5.0.0 até 5.11.1

Description Uma injeção de SQL não autenticada existe no endpoint de busca de elementos. Isso ocorre porque o parâmetro attribute é concatenado na consulta sem a devida sanitização, e as preparações PDO emuladas permitem instruções empilhadas. Atacantes remotos podem ler e gravar no banco de dados, permitindo que definam a flag de administrador ou sobrescrevam hashes de senha na tabela de usuários para obter acesso de administrador.

Recommendations Atualizar o Craft CMS versões 4.0.0 até 4.18.8 para a versão 4.18.9. Atualizar o Craft CMS versões 5.0.0 até 5.11.1 para a versão 5.11.2.