CVE-2026-56382

Nome do Software Vulnerável e Versões Afetadas Craft CMS versões 5.5.0 até 5.9.13

Description Existe um problema no método FieldsController::actionRenderCardPreview() onde o parâmetro POST fieldLayoutConfig é passado diretamente para Fields::createLayout() sem ser processado por Component::cleanseConfig(). A falta de sanitização permite que um usuário administrador autenticado injete manipuladores de eventos Yii2, como chaves on init, através do parâmetro fieldLayoutConfig. Isso pode levar à execução de código PHP arbitrário e à divulgação de informações sensíveis, incluindo a CRAFT SECURITY KEY e variáveis de ambiente contendo credenciais de banco de dados.

Recommendations Atualizar para a versão 5.9.14.