CVE-2026-86732

Nome do Software Vulnerável e Versões Afetadas Craft CMS versões anteriores a 5.10.12

Description Editores de conteúdo autenticados podem realizar a execução remota de código através do endpoint '/element-index'. O problema ocorre quando uma classe maliciosa é injetada por meio do parâmetro criteria, especificamente via criteria[withTransforms][0][class], que é então processada pela função normalizeTransform(). Ao utilizar uma cadeia de gadgets PHP com yiirbacPhpManager, um invasor pode executar código arbitrário direcionando a variável itemFile para um log de requisição que contenha um payload PHP no cabeçalho User-Agent.

Recommendations Atualize o Craft CMS para a versão 5.10.12 ou posterior.