Plataforma
php
Componente
formwork
Corrigido em
2.0.1
A vulnerabilidade CVE-2026-27198 afeta o Formwork CMS nas versões de 2.0.0 até 2.3.3. Devido a uma falha na aplicação de autorização baseada em papéis durante a criação de contas, um usuário autenticado com o papel de editor pode criar novas contas com privilégios administrativos. Essa falha permite o acesso administrativo completo ao CMS, comprometendo a segurança da aplicação. A correção foi implementada na versão 2.3.4.
Um atacante que explore esta vulnerabilidade pode obter acesso administrativo completo ao Formwork CMS. Isso significa que o atacante pode modificar dados, instalar software malicioso, alterar configurações do sistema e, essencialmente, controlar o servidor onde o CMS está hospedado. O impacto é severo, pois compromete a confidencialidade, integridade e disponibilidade dos dados e serviços fornecidos pelo CMS. A ausência de verificação adequada dos privilégios do usuário durante a criação de contas permite a escalada de privilégios, transformando um usuário com acesso limitado em um administrador completo.
A vulnerabilidade CVE-2026-27198 foi divulgada em 21 de fevereiro de 2026. A probabilidade de exploração é considerada média, dada a complexidade da exploração e a necessidade de autenticação. Não há relatos públicos de exploração ativa no momento da divulgação. A ausência de um Proof of Concept (PoC) publicamente disponível dificulta a avaliação precisa do risco, mas a gravidade da vulnerabilidade justifica a aplicação imediata de medidas de mitigação.
Organizations using Formwork CMS, particularly those with multiple users and a reliance on the 'editor' role for content management, are at risk. Shared hosting environments where multiple CMS instances share the same server are also at increased risk, as a compromise of one instance could potentially lead to the compromise of others.
• php: Examine Formwork CMS configuration files for unusual user roles or permissions. • generic web: Monitor access logs for POST requests to account creation endpoints with suspicious parameters. • generic web: Check CMS logs for successful account creations with administrative roles by users with the 'editor' role.
# Example: Grepping access logs for account creation attempts
grep 'POST /admin/users/create' access.logdisclosure
Status do Exploit
EPSS
0.02% (percentil 4%)
CISA SSVC
Vetor CVSS
A mitigação primária para CVE-2026-27198 é a atualização imediata para a versão 2.3.4 do Formwork CMS. Se a atualização imediata não for possível devido a problemas de compatibilidade ou tempo de inatividade, considere implementar medidas de segurança adicionais. Revise as permissões de usuário existentes e remova quaisquer privilégios desnecessários. Monitore os logs do sistema em busca de atividades suspeitas, como tentativas de criação de contas com privilégios elevados. Implementar um firewall de aplicação web (WAF) pode ajudar a bloquear tentativas de exploração da vulnerabilidade. Após a atualização, confirme a correção verificando se usuários com o papel de editor não conseguem mais criar contas com privilégios administrativos.
Atualize Formwork para a versão 2.3.4 ou superior. Esta versão corrige a vulnerabilidade que permite a usuários com privilégios de editor criar contas com privilégios de administrador. A atualização impedirá a escalada de privilégios e protegerá o CMS de um comprometimento total.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
CVE-2026-27198 is a vulnerability in Formwork CMS where an editor can create admin accounts, gaining full control. It affects versions 2.0.0 through 2.3.3 and is rated HIGH severity.
You are affected if you are running Formwork CMS versions 2.0.0 through 2.3.3. Check your version and upgrade immediately if vulnerable.
Upgrade Formwork CMS to version 2.3.4 or later to resolve this vulnerability. If immediate upgrade is not possible, implement stricter role-based access controls.
As of now, there are no confirmed reports of active exploitation, but the vulnerability's ease of exploitation makes it a potential target.
Refer to the Formwork CMS official website and security advisories for the latest information and updates regarding CVE-2026-27198.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.