Craft CMS: Sandbox-Ausbruch in der Elementsuche führt zu Remote Code Execution
Zusammenfassung
Craft CMS 4 und 5 vor den korrigierten Versionen erlauben jedem authentifizierten Benutzer des Control Panels, über eine Bedingung in der Elementsuche aus der Twig-Sandbox auszubrechen. Der Angreifer kann über ein Zeichen-Orakel den GeneralConfig::securityKey ermitteln, Parameter offline signieren und unsandboxed PHP-Callables erreichen, was die Ausführung von vom Angreifer gewählten Funktionen unter dem Benutzer des Webservers ermöglicht. Für die Ausnutzung ist ein gültiges Konto im Control Panel nötig, und die Sandbox allein schützt eine Website nicht.
Betroffen
- craftcms/cms 5.0.0 bis vor 5.11.2
- craftcms/cms 4.0.0 bis vor 4.18.9
- Der CVE-Eintrag gibt 'default: unaffected' an; dies wird nicht weiter erläutert.
Behoben in
- Craft CMS 5.11.2 oder neuer
- Craft CMS 4.18.9 oder neuer
Umgehung
Unbekannt.
Ausnutzung
- Erfordert einen authentifizierten Benutzer des Control Panels mit niedrigen Berechtigungen.
- In den Research-Notizen wurde keine Ausnutzung in freier Wildbahn gefunden.
- Der Regressionstest verwendet einen harmlosen Callback und führt keine Betriebssystembefehle aus.
Unsere Empfehlung
- Aktualisieren Sie je nach installierter Hauptversion umgehend auf Craft CMS 5.11.2 oder 4.18.9.
- Beschränken Sie bis zur Aktualisierung den Zugriff auf das Control Panel auf vertrauenswürdige Benutzer.
- Prüfen Sie Benutzerkonten im Control Panel und die letzten Anmeldungen auf Auffälligkeiten.
- Lassen Sie die Sandbox aktiviert, verlassen Sie sich aber nicht allein auf sie als Schutz.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Craft CMS GitHub repository github.com
- Craft CMS release 5.11.2 github.com
- GitHub Security Advisory GHSA-v4q3-2g5g-wjj6 github.com
- HCKRT write-up HCKRT-DRNL9W www.hckrt.com
- Craft CMS Security FAQ craftcms.com
- Craft CMS supported versions craftcms.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:24.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.