Craft CMS 4.x ve 5.x sürümlerinde Twig grup filtresindeki uzaktan kod yürütme açığı
Yapay zeka üretimi20.10.2026
- CVE
- CVE-2026-112770
- Ciddiyet
- Yüksek (CVSS 8.8)
- Firma / ürün
- - / -
Özet
Craft CMS 4.18.8 ve 5.11.0 öncesi sürümlerde, Twig grup filtresi aracılığıyla uzaktan kod yürütme mümkün. Yetkili kontrol paneli kullanıcıları web kök dizinine webshell yerleştirerek kod çalıştırabilir.
Ayrıntılar
NVD kaydına göre, Craft CMS 4.x'in 4.18.8 öncesi ve 5.x'in 5.11.0 öncesi sürümlerinde Twig grup filtresi, string olmayan ok (arrow) argümanlarını kontrol etmeden callable olarak çalıştırabiliyor. Bu durum, kimliği doğrulanmış kontrol paneli kullanıcılarının element-select koşul kurallarına FileHelper::writeToFile gibi bir dizi-callable eklemesine ve web kök dizinine webshell yerleştirerek web kullanıcısı olarak kod yürütmesine olanak tanıyor. Açığın ciddiyeti yüksek (CVSS 8.8).
Önerilen adımlar
Üreticinin güvenlik duyurularını yakından takip edin. Güncelleme yayımlandığında en kısa sürede uygulayın. Ürüne erişimi mümkün olduğunca sınırlı tutun.