CVE-2026-72782

Nome do Software Vulnerável e Versões Afetadas Craft CMS versões 5.0.0-RC1 até 5.10.5 Craft CMS versões 4.0.0-RC1 até 4.18.1

Descrição Usuários autenticados com acesso ao painel de controle podem vazar variáveis de ambiente e segredos arbitrários. Isso ocorre porque o software interpola variáveis de ambiente e segredos via strings ${ENV VAR} no parâmetro elementId em templates Twig antes da renderização, ignorando o sandbox do Twig. Um invasor pode usar uma técnica cega baseada em erros através de múltiplas requisições para extrair incrementalmente dados sensíveis, como a CRAFT SECURITY KEY, que pode ser usada para forjar sessões, escalar privilégios e roubar credenciais de bancos de dados, SMTP, APIs ou armazenamento de blobs.

Recomendações Atualize para a versão 5.10.6 ou posterior. Atualize para a versão 4.18.2 ou posterior.