Craft CMS: Remote Code Execution durch eingeschleusten Sicherheitsschlüssel
Zusammenfassung
Craft CMS 4.x vor 4.18.9 und 5.x vor 5.11.2 akzeptieren gefälschte Craft-API-Antwortheader von jedem Benutzer des Kontrollpanels mit der Berechtigung accessCp. Zeilenumbruchzeichen im Header X-Craft-Plugin-Licenses werden ungefiltert in die Datei .env geschrieben, sodass der Benutzer einen neuen CRAFT_SECURITY_KEY setzen kann. Mit diesem Schlüssel kann der Angreifer eine signierte Login-Weiterleitung fälschen, die Betriebssystembefehle auf dem Server ausführt. Für die Ausnutzung ist ein gültiges Kontrollpanel-Konto mit accessCp nötig, eine Benutzerinteraktion ist nicht erforderlich.
Betroffen
- Craft CMS 5.0.0 bis vor 5.11.2
- Craft CMS 4.0.0 bis vor 4.18.9
Behoben in
- Craft CMS 5.11.2
- Craft CMS 4.18.9
Umgehung
Unbekannt.
Ausnutzung
- In den geprüften Quellen ist kein öffentlich verfügbarer Exploit-Code bestätigt.
- In den geprüften Quellen ist keine Ausnutzung in freier Wildbahn bekannt.
Unsere Empfehlung
- Craft CMS auf 5.11.2 oder 4.18.9 bzw. eine neuere Version aktualisieren.
- Prüfen, welche Konten accessCp besitzen, und die Berechtigung entfernen, wo sie nicht benötigt wird.
- Den Zugriff auf das Kontrollpanel nach Möglichkeit per VPN oder IP-Allowlist einschränken.
- Die Datei .env auf unerwartete Änderungen am CRAFT_SECURITY_KEY prüfen. Bei einem Fund den Schlüssel rotieren, wodurch bestehende Sitzungen ungültig werden.
- Die Korrektur für den früheren Sandbox-Bypass-Bericht separat einspielen, da sich die Korrekturen nicht gegenseitig abdecken.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-9hp6-3565-gvh5 github.com
- Craft CMS release 5.11.2 github.com
- HCKRT bug bounty report HCKRT-WM3VSE www.hckrt.com
- Craft CMS repository github.com
- VulDB entry CVE-2026-115935 vuldb.com
- Strix CVE-2026-115935 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:22.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.