Craft CMS: Remote Code Execution über ContentBlock-Feldlayout
Zusammenfassung
Craft CMS in den Versionen 5.8.0 bis vor 5.11.0 erlaubt einem authentifizierten Administrator, über das ContentBlock-Feldlayout Betriebssystembefehle als Webbenutzer auszuführen. Der Angreifer übergibt ein manipuliertes JSON-Feldlayout, das die Bereinigung der Konfiguration umgeht und ein Yii-Behavior einschleust, wodurch auch Geheimnisse offengelegt werden können. Der Angriff setzt voraus, dass allowAdminChanges aktiviert ist, was der Standard ist; der Hersteller stuft das Problem als Low ein, während der CVSS-v4.0-Wert der CNA 8.7 High beträgt.
Betroffen
- Craft CMS 5.8.0 bis vor 5.11.0
- Unklar: OSV listet zusätzlich 5.8.11, 5.9.11 und 5.10.11. Vor einer Entscheidung gegen die Herstellerwarnung prüfen.
Behoben in
- Auf Craft CMS 5.11.0 oder neuer aktualisieren (5.11.x-Linie).
Umgehung
- allowAdminChanges in der Produktion deaktiviert lassen. Dies ist eine Ableitung aus der Warnung und keine vom Hersteller bestätigte Massnahme.
- Zugriff auf das Control Panel einschränken und starke Administrator-Authentifizierung inklusive MFA erzwingen.
Ausnutzung
- Es wurden keine Hinweise auf Ausnutzung in freier Wildbahn gefunden. Der Status im CISA-KEV-Katalog wurde nicht geprüft.
- VulDB führt den Status als 0-Day und schreibt, dass eine Ausnutzung einfach erscheint. Dies ist die Einschätzung von VulDB und kein Nachweis von Angriffen.
- CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar.
- Es wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Craft-CMS-Installationen und deren Versionen erfassen (craftcms/cms in composer.lock).
- Installationen von 5.8.0 bis 5.10.x auf 5.11.0 oder neuer aktualisieren.
- Prüfen, ob allowAdminChanges in der Produktion aktiviert ist, und es deaktivieren, falls es nicht benötigt wird.
- Zugriff auf das Control Panel einschränken und Administratorkonten überprüfen.
- Logs auf unerwartete Administratoraktivitäten prüfen und bei Verdacht auf Kompromittierung Geheimnisse und API-Schlüssel rotieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-j6r9-fxgv-j7x5 github.com
- VulnCheck advisory: Craft CMS 5.8.0 before 5.11.0 Admin RCE www.vulncheck.com
- OSV: CVE-2026-112774 osv.dev
- VulDB entry 422518 vuldb.com
- Craft CMS 5.11.0 release notes (mirror) newreleases.io
- Tenable: CVE-2026-112774 www.tenable.com
- ACN alert on Craft CMS vulnerabilities www.acn.gov.it
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 02:01.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.