Craft CMS: Remote Code Execution durch Behavior-Injection in actionCacheUpdates
Zusammenfassung
Craft CMS, ein PHP-basiertes Content-Management-System, enthält eine Code-Injection-Schwachstelle in der Update-Cache-Aktion (actionCacheUpdates). Ein authentifizierter Benutzer des Control Panels mit der Berechtigung performUpdates oder Zugriff auf das Updates-Utility kann Behaviors und Event-Handler einschleusen, was zur Ausführung beliebigen Codes auf dem Server führen kann. Administratorrechte sind nicht erforderlich, wohl aber ein gültiges Konto für das Control Panel.
Betroffen
- Craft CMS 4.0.0 bis vor 4.18.7
- Craft CMS 5.0.0 bis vor 5.10.14
Behoben in
- Craft CMS 4.18.7 oder neuer (4.x-Linie)
- Craft CMS 5.10.14 oder neuer (5.x-Linie)
Umgehung
Unbekannt. Der Hersteller beschreibt keine Workaround-Massnahme.
- Berechtigung performUpdates und Zugriff auf das Updates-Utility auf vertrauenswürdige Benutzer beschränken.
- Zugriff auf das Control Panel auf vertrauenswürdige Netzwerke oder VPN beschränken.
Ausnutzung
- Gemäss den geprüften Quellen ist keine Ausnutzung in freier Wildbahn bekannt.
- Nicht im CISA-KEV-Katalog aufgeführt. CISA SSVC: Exploitation none, nicht automatisierbar, totale technische Auswirkung.
- Kein öffentlicher Proof of Concept gefunden. Das Advisory beschreibt den Mechanismus.
Unsere Empfehlung
- Craft-Installationen inventarisieren und composer.lock auf craftcms/cms-Versionen unter 4.18.7 oder 5.10.14 prüfen.
- Betroffene Installationen nach Tests zeitnah aktualisieren.
- Konten mit performUpdates oder Zugriff auf das Updates-Utility überprüfen und nicht benötigte Rechte entfernen.
- Zugriff auf das Control Panel wo möglich auf vertrauenswürdige Netzwerke beschränken.
- Logs auf ungewöhnliche Anfragen an die Update-Cache-Aktion prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-5m2g-hhqr-84pc github.com
- VulnCheck advisory: Craft CMS RCE via actionCacheUpdates www.vulncheck.com
- Craft CMS 5.10.14 release github.com
- VulDB entry 417116 vuldb.com
- HOL Guard CVE summary hol.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 04:48.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.