Plateforme
php
Composant
craftcms
Corrigé dans
5.0.1
4.0.1
5.9.15
Craft CMS est un système de gestion de contenu (CMS) populaire. Une vulnérabilité de type Server-Side Request Forgery (SSRF) a été découverte dans les versions 4.x (jusqu'à 4.17.8) et 5.x (jusqu'à 5.9.14), permettant à un attaquant de faire des requêtes vers des ressources internes. L'exploitation nécessite des permissions spécifiques dans le schéma GraphQL. Une correction a été déployée dans les versions 4.17.9 et 5.9.15.
La vulnérabilité CVE-2026-41129 dans le CMS permet à un attaquant d'exécuter des commandes arbitraires sur le serveur sous-jacent via le chargement de fichiers malveillants. L'absence de validation du schéma d'URL permet l'utilisation du protocole Gopher, qui peut encapsuler des commandes TCP. Combiné à un contournement potentiel de DWORD (non détaillé dans la description originale), cela permet l'exécution de code à distance. L'impact est significatif, car un attaquant disposant des permissions nécessaires ('Modifier les actifs dans le volume <VolumeName>' et 'Créer des actifs dans le volume <VolumeName>') peut compromettre la sécurité du serveur et accéder à des données sensibles ou effectuer des actions non autorisées. La version 4.17.9 fournit une correction pour cette vulnérabilité.
L'exploitation de cette vulnérabilité nécessite que l'attaquant dispose des permissions 'Modifier les actifs dans le volume <VolumeName>' et 'Créer des actifs dans le volume <VolumeName>'. L'attaquant peut alors utiliser une requête GraphQL malveillante pour charger un fichier contenant des commandes Gopher, qui seront exécutées sur le serveur. Le contournement de DWORD, s'il est présent, simplifie encore davantage le processus d'exploitation. Le succès de l'exploitation dépend de la configuration du serveur et de la présence du contournement de DWORD.
Organizations using Craft CMS in environments with exposed GraphQL endpoints and where users have permissions to edit or create assets within volumes are at increased risk. Shared hosting environments where multiple users share the same Craft CMS instance are particularly vulnerable, as a compromised user account could be leveraged to exploit the SSRF vulnerability.
• php / server:
grep -r 'gopher:' /var/www/craftcms/config/general.php
grep -r 'gopher:' /var/www/craftcms/modules/*• generic web:
curl -I 'http://your-craftcms-site.com/graphql' | grep 'Server: Craft CMS'disclosure
Statut de l'Exploit
EPSS
0.04% (percentile 11%)
CISA SSVC
Pour atténuer la CVE-2026-41129, il est recommandé de mettre à jour le CMS à la version 4.17.9 ou ultérieure dès que possible. De plus, examinez et restreignez l'accès aux permissions 'Modifier les actifs dans le volume <VolumeName>' et 'Créer des actifs dans le volume <VolumeName>' aux seuls utilisateurs autorisés. La mise en œuvre d'une liste blanche stricte pour les schémas d'URL autorisés (uniquement http et https) est essentielle pour empêcher l'utilisation de protocoles tels que Gopher. La surveillance des journaux système à la recherche d'activités suspectes liées au chargement de fichiers peut également aider à détecter et à répondre aux attaques potentielles.
Actualice Craft CMS a la versión 4.17.9 o superior, o a la versión 5.9.15 o superior para mitigar la vulnerabilidad de SSRF. Asegúrese de que los permisos 'Editar activos en el volumen <VolumeName>' y 'Crear activos en el volumen <VolumeName>' estén configurados correctamente en el esquema GraphQL.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
Gopher est un protocole réseau ancien qui permet le transfert de fichiers et l'exécution de commandes. Dans ce contexte, il permet à un attaquant d'exécuter des commandes TCP arbitraires sur le serveur.
Un contournement de DWORD est une vulnérabilité qui permet à un attaquant de contourner les contrôles de sécurité en manipulant des données au format DWORD. La description originale suggère que cela simplifie l'exploitation, mais ne fournit pas de détails spécifiques.
Les permissions 'Modifier les actifs dans le volume <VolumeName>' et 'Créer les actifs dans le volume <VolumeName>' sont nécessaires.
Vérifiez la version de votre CMS. Si vous utilisez une version antérieure à 4.17.9, vous êtes vulnérable. Vérifiez également les paramètres de permission et la validation d'URL.
Consultez l'entrée CVE-2026-41129 dans les bases de données de vulnérabilités telles que le National Vulnerability Database (NVD) ou le site Web du fournisseur du CMS.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.