Craft CMS: Remote Code Execution durch Twig-Sandbox-Ausbruch in Asset::getMimeType
Zusammenfassung
Craft CMS in den Versionen 5.0.0 bis vor 5.11.0 erlaubt einem authentifizierten Benutzer des Control Panels, die Twig-Sandbox über die Transform-Verarbeitung von Asset::getMimeType zu verlassen. Eingeschleuste Schlüssel 'as' oder 'on' werden ungefiltert an Craft::createObject übergeben, wodurch angreifergesteuerte Behaviors oder Event-Handler angehängt werden und Code als Webserver-Benutzer ausgeführt wird. Der Angriff setzt voraus, dass enableTwigSandbox auf true gesetzt ist (Standard: false), und einen gültigen Control-Panel-Login.
Betroffen
- Craft CMS 5.0.0 bis vor 5.11.0
- Gemäss den Research-Notizen sind nur Installationen mit enableTwigSandbox=true erreichbar; im Advisory prüfen.
Behoben in
- Auf Craft CMS 5.11.0 oder neuer aktualisieren.
Umgehung
Unbekannt.
Ausnutzung
- Keine bekannte Ausnutzung gemeldet; CISA SSVC führt Exploitation als none und Automatable als no.
- Nicht im CISA-KEV-Katalog; kein öffentlicher Proof of Concept bestätigt.
Unsere Empfehlung
- Selbst gehostete Craft-CMS-5.x-Installationen auf 5.11.0 oder neuer aktualisieren.
- Zugriff auf das Control Panel über Netzwerk-Allowlisting, VPN oder SSO einschränken und MFA für Redaktionskonten erzwingen.
- Benutzerlisten des Control Panels prüfen und nicht benötigte Konten entfernen.
- Logs auf unerwartete Control-Panel-Aktivitäten prüfen und die Einstellung enableTwigSandbox überprüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-qm9x-rmcj-h2rc github.com
- VulnCheck advisory: Craft CMS RCE via Asset::getMimeType transform injection www.vulncheck.com
- OpenCVE: CVE-2026-112772 app.opencve.io
- Craft CMS 5.11.0 release notes (mirror) newreleases.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 01:58.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.