CVE-2026-92591

Nome do Software Vulnerável e Versões Afetadas Craft CMS versões 5.0.0 through 5.10.12

Description Uma falha na conexão com o banco de dados é interpretada incorretamente como se o software não estivesse instalado. Isso permite que ações de instalação anônimas, como install/validate-site, sejam acessadas em um site de produção se o PHP estiver disponível, mas o endpoint MySQL não. O processo aceita um nome de site, o serializa via Site::getName() e expande expressões ${NAME} usando App::env(). Um invasor não autenticado com um cookie de sessão de convidado válido e um token CSRF pode fornecer um nome de variável previsível, como CRAFT SECURITY KEY, para expor informações sensíveis, incluindo variáveis de ambiente de processo, entradas de $ SERVER, constantes PHP, credenciais de banco de dados ou chaves de API. Este problema requer uma interrupção independente do banco de dados para ser explorado.

Recommendations Atualize o Craft CMS para a versão 5.10.13.