CVE-2026-56394

Nome do Software Vulnerável e Versões Afetadas Craft CMS versões 4.0.0-RC1 e posteriores

Description Uma falha de path traversal autenticada existe no endpoint 'assets/icon'. O problema ocorre porque o parâmetro extension não é validado antes que o sistema realize verificações de existência de arquivo. Um usuário com baixos privilégios pode fornecer sequências de travessia que resolvam para um arquivo SVG existente, ignorando a imposição de extensão para ler arquivos locais não pretendidos. Isso pode levar à divulgação de dados de configuração sensíveis e segredos, como credenciais de banco de dados e chaves de API, permitindo potencialmente a movimentação lateral e a tomada total de controle do site.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.