Craft CMS: Remote Code Execution über Twig-Sandbox-Ausbruch
Zusammenfassung
Craft CMS ab 5.0.0 bis vor 5.11.0 erlaubt authentifizierten Benutzern des Control Panels, die Twig-Sandbox über die Methoden getNext, getPrev und getOwners zu verlassen. Ein Angreifer kann Yii-Behavior- oder Event-Handler-Konfigurationen einschleusen, die beim Ausführen der Element-Abfrage Code ausführen, was zur Codeausführung als Webbenutzer führt. Voraussetzung für den Angriff ist, dass die Sandbox aktiviert ist (enableTwigSandbox, standardmässig deaktiviert).
Betroffen
- Craft CMS 5.0.0 bis vor 5.11.0
- Craft CMS-Installationen mit enableTwigSandbox auf true und Control-Panel-Konten mit Zugriff auf die betroffenen Funktionen
Behoben in
- Craft CMS 5.11.0 (gemäss CVE-Eintrag und betroffenem Bereich; noch nicht in der Herstellerwarnung bestätigt)
Umgehung
Unbekannt.
- enableTwigSandbox deaktiviert lassen, sofern nicht benötigt (Herstellerwarnung nicht verifiziert)
Ausnutzung
- Authentifizierung mit Control-Panel-Zugriff ist erforderlich.
- CISA KEV: nicht gelistet.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Kein öffentlicher Proof of Concept für diese CVE gefunden: Unbekannt.
Unsere Empfehlung
- Craft CMS auf 5.11.0 oder neuer aktualisieren, nach vorgängiger Sicherung.
- Control-Panel-Konten auf vertrauenswürdige Mitarbeitende beschränken und nicht benötigte Konten entfernen.
- MFA für Control-Panel-Anmeldungen erzwingen und den Zugriff auf das Control Panel nach Möglichkeit per IP einschränken.
- Prüfen, ob enableTwigSandbox aktiviert ist, und die Aktivitäten im Control Panel auf Auffälligkeiten untersuchen.
- Websites mit externem Control-Panel-Zugriff oder mehreren nicht vertrauenswürdigen Bearbeitenden priorisieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-wr79-9v6x-5rfq github.com
- VulnCheck Advisory: Craft CMS 5.0.0 before 5.11.0 RCE via Twig Sandbox Behavior Injection www.vulncheck.com
- OSV CVE-2026-112773 mirror vulners.com
- Strix CVE-2026-112773 www.strix.ai
- GitHub Security – craftcms/cms github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 02:00.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.