CraftCMS 在控制面板关系条件语句中存在 RCE 漏洞

该漏洞的潜在影响非常严重。攻击者可以利用此漏洞在 Craft CMS 服务器上执行任意代码，从而完全控制受影响的系统。攻击者可以窃取敏感数据，安装恶意软件，甚至完全破坏系统。由于该漏洞不需要管理员权限，且可以通过标准的元素列表端点利用，因此攻击面非常广。攻击者无需特殊权限，只需基本的控制面板访问权限即可利用此漏洞，这使得潜在的攻击者数量大大增加。该漏洞的利用方式类似于其他 Twig 模板引擎中的代码注入漏洞，可能导致严重的系统安全事件。

Organizations and individuals using Craft CMS 5.9.8 or earlier, particularly those with non-admin users (Authors, Editors) having Control Panel access, are at significant risk. Shared hosting environments running Craft CMS are also vulnerable, as the attacker could potentially exploit the vulnerability through a compromised user account.

• php: Examine Craft CMS logs for requests to element listing endpoints containing unusual or excessively long condition rule parameters.

grep 'condition_rule' /path/to/craftcms/logs/web.log

• php: Check for modified or newly created files in the Craft CMS template directory that could contain malicious code.

find /path/to/craftcms/templates -type f -mtime -1

• generic web: Monitor web server access logs for requests originating from unusual IP addresses or user agents targeting Craft CMS element listing endpoints. • generic web: Inspect response headers for unexpected content or redirects that might indicate code execution.

1. 2026-03-11Disclosure

   disclosure

1. 已保留2026-03-09
2. 发布日期2026-03-11
3. 修改日期2026-03-13
4. EPSS 更新日期2026-03-23

为了缓解 CVE-2026-31857 的风险，首要措施是立即升级到 Craft CMS 5.9.9 或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：限制控制面板用户的权限，只授予必要的访问权限；审查并禁用所有自定义条件规则，特别是那些接受用户输入并将其传递给 renderObjectTemplate() 函数的规则；实施 Web 应用防火墙 (WAF) 规则，以检测和阻止恶意请求。在升级后，请确认漏洞已修复，可以通过检查 Craft CMS 版本号来验证。