Anmelden
Deutsch English Español Polski
Mittel

Craft CMS stores arbitrary content provided by unauthenticated users in session files

  • Veröffentlicht: 08.05.2025
  • Aktualisiert: 11.10.2026 10:22

CISA bestätigt die Ausnutzung dieser Schwachstelle in realen Angriffen. Prüfen Sie vorrangig, ob Ihre Anwendung betroffen ist. CISA KEV · CC0 1.0

Craft CMS stores arbitrary content provided by unauthenticated users in session files. This content could be accessed and executed, possibly using an independent vulnerability. Craft CMS redirects requests that require authentication to the login page and generates a session file on the server at /var/lib/php/sessions. Such session files are named sess_[session_value], where [session_value] is provided to the client in a Set-Cookie response header. Craft CMS stores the return URL requested by the client without sanitizing parameters. Consequently, an unauthenticated client can introduce arbitrary values, such as PHP code, to a known local file location on the server. Craft CMS versions 5.7.5 and 4.15.3 have been released to address this issue.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Composer-Paket craftcms/cms >= 5.0.0-alpha.1, < 5.7.5, < 4.15.3 5.7.5, 4.15.3

Verweise

CVSS-Wert 5.3/10
CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N/E:H
Schwäche (CWE)
CWE-472
Plattform
Composer
Paket
craftcms/cms
Veröffentlicht
08.05.2025
Aktualisiert
11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-7vrx-9684-xrf2 - CC BY 4.0

Schwachstellenhistorie: craftcms/cms

Alle veröffentlichten Schwachstellen dieses Pakets (Composer-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (127) im Archiv
Einträge insgesamt
127
Erste → letzte
07.2021 08.2026
Ohne Fix
6
In Angriffen ausgenutzt
4

Verteilung nach Schweregrad

  • Kritisch 9
  • Hoch 41
  • Mittel 65
  • Niedrig 12

Veröffentlichungen pro Jahr

Schweregrad:
  1. Craft CMS: Passkey login accepts replayed WebAuthn assertions
    Kritisch CVE-2026-72780 >= 5.0.0-RC1, < 5.10.5 5.10.5
  2. Craft CMS: Arbitrary user password reset leading to administrator account takeover
    Hoch CVE-2026-72786 >= 5.0.0-RC1, < 5.10.8 5.10.8
  3. Craft CMS: Authenticated RCE through Twig sandbox escape
    Hoch CVE-2026-72781 >= 5.0.0-RC1, < 5.10.7, >= 4.0.0-RC1, < 4.18.3 5.10.7, 4.18.3
  4. Craft CMS: Authenticated RCE via `condition.config` JSON cleanse bypass
    Hoch CVE-2026-72778 >= 5.0.0-RC1, < 5.10.6, >= 4.0.0-RC1, < 4.18.2 5.10.6, 4.18.2
  5. Craft CMS: RCE via missing cleanseConfig in FieldsController::actionRenderCardPreview
    Hoch CVE-2026-56382 >= 5.5.0, < 5.9.14 5.9.14
  6. Craft CMS: Potential authenticated Remote Code Execution via referrer redirect
    Hoch CVE-2026-55794 >= 5.9.0, < 5.10.0 5.10.0
  7. Craft CMS: DOM XSS via GitHub issue title in CraftSupport widget
    Hoch CVE-2026-55790 >= 5.0.0-RC1, < 5.9.23, >= 4.0.0-RC1, < 4.17.16 5.9.23, 4.17.16
  8. Craft CMS Vulnerable to Unauthorized Deletion of Destination Folders During Forced Moves
    Hoch CVE-2026-50282 >= 5.0.0-RC1, < 5.9.21, >= 4.0.0-RC1, < 4.17.14 5.9.21, 4.17.14
  9. Craft CMS's mass assignment via id in newAttributes during bulk duplicate overwrites existing elements
    Hoch CVE-2026-50281 >= 5.7.0, < 5.9.21 5.9.21
  10. Craft CMS: Missing peer-permission check in `AssetsController::actionDeleteFolder` allows deletion of other users' assets
    Hoch CVE-2026-50284 >= 5.0.0-RC1, < 5.9.22, >= 4.0.0-RC1, < 4.17.15 5.9.22, 4.17.15
  11. Craft CMS: Authorship spoofing in `entries/save-entry` via pre-check/post-mutation authorization gap
    Hoch CVE-2026-50279 >= 5.0.0-RC1, < 5.9.21 5.9.21
  12. Craft CMS: Blind SSRF and Arbitrary JavaScript Injection via Host Header Poisoning in actionResourceJs
    Kritisch CVE-2026-55791 >= 5.0.0-RC1, < 5.10, >= 4.0.0-RC1, < 4.18 5.10, 4.18
  13. Craft CMS's Missing Volume Permission Check in AssetsController::actionShowInFolder Allows Information Disclosure
    Hoch CVE-2026-44012 >= 5.0.0-RC1, < 5.9.18 5.9.18
  14. Craft CMS has Potential Authenticated Remote Code Execution via Malicious Attached Behavior
    Hoch CVE-2026-44011 >= 4.0.0, < 4.17.12, >= 5.0.0, < 5.9.18 4.17.12, 5.9.18
  15. Craft CMS's Missing Authorization in GraphQL Address Resolver Allows Cross-Scope PII Disclosure
    Hoch CVE-2026-44010 >= 5.0.0, < 5.9.18, >= 4.0.0, < 4.17.12 5.9.18, 4.17.12
  16. Craft CMS is Vulnerable to Authenticated Remote Code Execution via Malicious Attached Behavior
    Hoch CVE-2026-33157 >= 5.6.0, < 5.9.13 5.9.13
  17. Craft CMS Vulnerable to Privilege Escalation/Bypass through UsersController->actionImpersonateWithToken()
    Hoch CVE-2026-32267 >= 4.0.0-RC1, < 4.17.6, >= 5.0.0-RC1, < 5.9.12 4.17.6, 5.9.12
  18. Craft CMS vulnerable to behavior injection RCE ElementIndexesController and FieldsController
    Hoch CVE-2026-32264 >= 4.0.0-RC1, < 4.17.5, >= 5.0.0-RC1, < 5.9.11 4.17.5, 5.9.11
  19. Craft CMS vulnerable to behavior injection RCE via EntryTypesController
    Hoch CVE-2026-32263 >= 5.6.0, < 5.9.11 5.9.11
  20. CraftCMS has an RCE vulnerability via relational conditionals in the control panel
    Hoch CVE-2026-31857 >= 5.0.0-RC1, < 5.9.9, >= 4.0.0-beta.1, < 4.17.4 5.9.9, 4.17.4
  21. CraftCMS's `ElementSearchController` Affected by Blind SQL Injection
    Hoch CVE-2026-31858 >= 5.0.0-RC1, < 5.9.9 5.9.9
  22. Craft CMS has unauthenticated activation email trigger with potential user enumeration
    Hoch CVE-2026-29069 >= 5.0.0-RC1, < 5.9.0-beta.2, >= 4.0.0-RC1, < 4.17.0-beta.2 5.9.0-beta.2, 4.17.0-beta.2
  23. Craft CMS Vulnerable to Authenticated RCE via "craft.app.fs.write()" in Twig Templates
    Kritisch CVE-2026-28697 >= 5.0.0-RC1, < 5.9.0-beta.1, >= 4.0.0-RC1, < 4.17.0-beta.1 5.9.0-beta.1, 4.17.0-beta.1
  24. Craft CMS has IDOR via GraphQL @parseRefs
    Hoch CVE-2026-28696 >= 4.0.0-RC1, < 4.17.0-beta.1, >= 5.0.0-RC1, < 5.9.0-beta.1 4.17.0-beta.1, 5.9.0-beta.1
  25. Craft CMS has Cloud Metadata SSRF Protection Bypass via DNS Rebinding
    Hoch CVE-2026-27127 >= 5.0.0-RC1, < 5.8.23, >= 3.5.0, < 4.16.19 5.8.23, 4.16.19
  26. Craft CMS Vulnerable to potential authenticated Remote Code Execution via malicious attached Behavior
    Hoch CVE-2026-25498 >= 5.0.0-RC1, < 5.8.22, >= 4.0.0-RC1, < 4.16.18 5.8.22, 4.16.18
  27. Craft CMS: GraphQL Asset Mutation Privilege Escalation
    Hoch CVE-2026-25497 >= 5.0.0-RC1, < 5.9.0-beta.1, >= 4.0.0-RC1, < 4.17.0-beta.1 5.9.0-beta.1, 4.17.0-beta.1
  28. Craft CMS Vulnerable to SQL Injection in Element Indexes via `criteria[orderBy]`
    Hoch CVE-2026-25495 >= 5.0.0-RC1, < 5.8.22, >= 4.0.0-RC1, < 4.16.18 5.8.22, 4.16.18
  29. Craft CMS vulnerable to potential authenticated Remote Code Execution via malicious attached Behavior
    Hoch CVE-2025-68455 >= 5.0.0-RC1, < 5.8.21, >= 4.0.0-RC1, < 4.16.17 5.8.21, 4.16.17
  30. Unauthenticated Craft CMS users can trigger a database backup
    Hoch CVE-2025-68456 >= 5.0.0-RC1, < 5.8.21, >= 3.0.0, < 4.16.17 5.8.21, 4.16.17
  31. Craft CMS stores arbitrary content provided by unauthenticated users in session files dieser Eintrag
    Mittel · 5.3 In Angriffen ausgenutzt CVE-2025-35939 >= 5.0.0-alpha.1, < 5.7.5, < 4.15.3 5.7.5, 4.15.3
  32. Craft CMS Contains a Potential Remote Code Execution Vulnerability via Twig SSTI
    Hoch CVE-2025-46731 >= 4.0.0-RC1, < 4.14.13, >= 5.0.0-RC1, < 5.6.15 4.14.13, 5.6.15
  33. Craft CMS Allows Remote Code Execution
    Kritisch · 10.0 In Angriffen ausgenutzt CVE-2025-32432 >= 3.0.0-RC1, < 3.9.15, >= 4.0.0-RC1, < 4.14.15, >= 5.0.0-RC1, < 5.6.17 3.9.15, 4.14.15, 5.6.17
  34. Craft CMS has a potential RCE with a compromised security key
    Hoch · 8.0 In Angriffen ausgenutzt CVE-2025-23209 >= 5.0.0-RC1, < 5.5.8, >= 4.0.0-RC1, < 4.13.8 5.5.8, 4.13.8
  35. Craft CMS has potential RCE when PHP `register_argc_argv` config setting is enabled
    Kritisch · 9.8 In Angriffen ausgenutzt CVE-2024-56145 >= 5.0.0-RC1, < 5.5.2, >= 4.0.0-RC1, < 4.13.2, >= 3.0.0, < 3.9.14 5.5.2, 4.13.2, 3.9.14
  36. Craft CMS vulnerable to Potential Remote Code Execution via missing path normalization & Twig SSTI
    Hoch · 7.2 CVE-2024-52293 >= 4.0.0-RC1, < 4.12.2, >= 5.0.0-RC1, < 5.4.3 4.12.2, 5.4.3
  37. Craft CMS Arbitrary System File Read
    Hoch · 7.7 CVE-2024-52292 >= 5.0.0-alpha.1, < 5.4.9, >= 3.5.13, < 4.12.8 5.4.9, 4.12.8
  38. Local File System Validation Bypass Leading to File Overwrite, Sensitive File Access, and Potential Code Execution
    Hoch · 8.4 CVE-2024-52291 >= 5.0.0-RC1, < 5.4.6, >= 4.0.0-RC1, < 4.12.5 5.4.6, 4.12.5
  39. Craft CMS SQL injection vulnerability via the GraphQL API endpoint
    Kritisch · 9.8 CVE-2024-37843 <= 3.7.31 keine Korrektur
  40. Craft CMS Feed-Me
    Hoch · 7.5 CVE-2023-36260 < 4.6.2 4.6.2
Mehr anzeigen (11) 40 von 51 angezeigt

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.