CVE-2026-72781

Nome do Software Vulnerável e Versões Afetadas Craft CMS versões 5.0.0-RC1 até 5.10.6 Craft CMS versões 4.0.0-RC1 até 4.18.2

Description Um problema de execução remota de código existe no mecanismo de sandbox do Twig. O software marca a ElementInterface como segura usando o atributo AllowedInSandbox. Como a lista de permissões do sandbox se estende a toda a hierarquia de classes de craftbaseComponent até yiibaseComponent, um invasor autenticado com acesso ao painel de controle pode renderizar um template Twig malicioso. Isso permite que o invasor abuse do gadget de chamada de função arbitrária do yiibaseComponent para executar código arbitrário, ignorando a proteção fornecida pela função enableTwigSandbox().

Recommendations Atualizar as versões do Craft CMS 5.0.0-RC1 até 5.10.6 para a versão 5.10.7. Atualizar as versões do Craft CMS 4.0.0-RC1 até 4.18.2 para a versão 4.18.3.