Craft CMS: Umgehung der Blockliste in Twig create() ermöglicht Dateizugriff und Remote Code Execution

Zusammenfassung

Craft CMS 4.x vor 4.18.8 und 5.x vor 5.11.0 enthalten eine Umgehung der Blockliste in der Twig-Funktion create(). Die Prüfung der Klassennamen unterscheidet zwischen Gross- und Kleinschreibung, die PHP-Klassenauflösung jedoch nicht. Dadurch instanziiert ein Klassenname in Kleinschreibung, etwa splfileobject, die Klasse SplFileObject. Ein Angreifer mit Template-Ausführungsrechten, etwa ein Administrator des Control Panels, kann Dateien wie .env lesen (inklusive Sicherheitsschlüssel und Datenbank-Zugangsdaten) und eine PHP-Datei ins Webroot schreiben, was zu Remote Code Execution führt. Der NVD-Eintrag bewertet die Lücke mit 8.7 (CVSS 4.0), der Vektor enthält jedoch keine erforderlichen Berechtigungen, was der Beschreibung widerspricht. Das GitHub-Advisory stuft die Lücke als Low ein, weshalb sich die offizielle Bewertung noch ändern kann.

Betroffen

• Craft CMS 4.0.0 bis vor 4.18.8
• Craft CMS 5.0.0 bis vor 5.11.0

Behoben in

• Craft CMS 4.18.8
• Craft CMS 5.11.0

Umgehung

• Kein vom Hersteller dokumentierter Workaround. Das Update einspielen.
• Zwischenzeitliche Risikoreduktion: Konten mit Control-Panel- oder Template-Ausführungsrechten prüfen und nicht benötigte entfernen.

Ausnutzung

• Zum Zeitpunkt der Recherche wurde keine Ausnutzung in freier Wildbahn gefunden.
• Nicht im CISA-KEV-Katalog aufgeführt; es wurde kein öffentlicher Proof of Concept gefunden. Vor einer Abhängigkeit erneut prüfen.
• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung partiell.

Unsere Empfehlung

• Öffentlich erreichbare Craft-CMS-Instanzen identifizieren und auf 4.18.8, 5.11.0 oder neuer aktualisieren.
• Administratoren-Rechte im Control Panel und Template-Ausführungsrechte auf die tatsächlich benötigten Personen beschränken.
• Sicherstellen, dass .env-Dateien nicht über den Webserver abrufbar sind, und das Webroot auf unerwartete PHP-Dateien prüfen.
• Logs auf ungewöhnliche Anfragen an neu erstellte Dateien sowie auf Änderungen in der Liste der Control-Panel-Benutzer überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-w643-x88w-6wcm github.com
• VulnCheck advisory: Craft CMS Twig create() blocklist bypass www.vulncheck.com
• Craft CMS 4.18.8 release notes newreleases.io
• Craft CMS 5.11.0 release notes newreleases.io
• Vulners OSV entry for CVE-2026-112777 vulners.com
• ACN alert: Craft CMS vulnerabilities www.acn.gov.it

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 01:56.