Craft CMS: Umgehung der Twig-Sandbox führt zu Remote Code Execution
Zusammenfassung
Craft CMS ab 5.10.2 bis vor 5.10.14 enthält eine Umgehung der Twig-Sandbox in den Operatoren "has some" und "has every". Benutzer mit der Berechtigung für Systemnachrichten können in Sandbox-Templates PHP-Callables mit zwei Argumenten wie passthru oder system verwenden und so Code als Webserver-Benutzer ausführen. Die Schwachstelle betrifft nur Websites, auf denen enableTwigSandbox aktiviert ist, was das offizielle Starter-Projekt standardmässig tut.
Betroffen
- Craft CMS 5.10.2 bis vor 5.10.14
- Nur Websites mit aktivierter enableTwigSandbox sind von der Sandbox-Umgehung betroffen
Behoben in
- Craft CMS 5.10.14 (behebt diese Schwachstelle; deckt auch CVE-2026-109306 und CVE-2026-109304 ab)
Umgehung
- Unbekannt. Kein vom Hersteller dokumentierter Workaround.
- Das Deaktivieren der Sandbox ist keine Behebung: Ein Editor mit Systemnachrichten könnte dann direkt auf die Anwendung zugreifen.
- Berechtigung für Systemnachrichten einschränken und Control-Panel-Zugriffe prüfen.
Ausnutzung
- Aktive Ausnutzung in freier Wildbahn: Unbekannt. Die geprüften Quellen markieren sie nicht als bekannt ausgenutzt.
- Öffentlicher Proof of Concept: In der Recherche keiner gefunden; dies beweist nicht, dass keiner existiert.
- EPSS: rund 0,005 laut einem Aggregator.
Unsere Empfehlung
- Alle Craft-CMS-Installationen inventarisieren und jene mit 5.10.2 bis 5.10.13 identifizieren.
- Auf Craft CMS 5.10.14 oder neuer aktualisieren.
- Prüfen, ob enableTwigSandbox gesetzt ist, und festlegen, wer Berechtigungen für Systemnachrichten und Control-Panel-Zugriff besitzt.
- Logs auf ungewöhnliche Template-Änderungen durch Benutzer mit wenig Rechten prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-vfcw-xv8p-8rj2 github.com
- VulnCheck advisory www.vulncheck.com
- Craft CMS 5.10.14 release github.com
- OSV CVE-2026-109306 osv.dev
- GitHub Advisory GHSA-52mh-mf22-cc6j github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 04:50.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.