Craft CMSに認証なしで管理者になれる脆弱性、修正版あり
Summary
Craft CMS 4系と5系に、ログインなしでデータベースを書き換えられ管理者権限を奪われる脆弱性が公表されました。4.18.9か5.11.2に更新し、管理者アカウントの不審な変更も確認してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
Craft CMS 4系と5系に、ログインなしでデータベースを書き換えられ管理者権限を奪われる脆弱性が公表されました。4.18.9か5.11.2に更新し、管理者アカウントの不審な変更も確認してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| craftcms | cms |
≥ 5.0.0, < 5.11.2 |
5.11.2 |
Original description The description as published by the source.
Craft CMS 4.0.0 before 4.18.9 and 5.0.0 before 5.11.2 contains an unauthenticated SQL injection vulnerability in the element search endpoint because the attribute parameter is concatenated into the query unsanitized and emulated PDO prepares allow stacked statements. Remote attackers can read and write the database, setting the admin flag or overwriting password hashes in the users table to gain administrator access.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web nvd.nist.gov
- web github.com