Anmelden
Deutsch English Español Polski
Hoch

Unauthenticated Craft CMS users can trigger a database backup

  • Veröffentlicht: 05.01.2026
  • Aktualisiert: 11.10.2026 10:22

Unauthenticated users can trigger database backup operations the updater/backup action, potentially leading to resource exhaustion or information disclosure.

Users should update to the patched versions (5.8.21 and 4.16.17) to mitigate the issue.

Craft 3 users should update to the latest Craft 4 and 5 releases, which include the fixes.

References:

https://github.com/craftcms/cms/commit/f83d4e0c6b906743206b4747db4abf8164b8da39

https://github.com/craftcms/cms/blob/5.x/CHANGELOG.md#5821---2025-12-04

Affected Endpoints

  • POST /admin/actions/updater/backup (unauthenticated)

Vulnerability Details

Root Cause

All updater/* actions are explicitly configured with anonymous access:

php
// BaseUpdaterController.php  
protected array|bool|int $allowAnonymous = self::ALLOW_ANONYMOUS_LIVE | self::ALLOW_ANONYMOUS_OFFLINE;

Attack Vector

  1. Send unauthenticated POST request to /admin/actions/updater/backup
  2. Database backup executes with configured backupCommand

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Composer-Paket craftcms/cms >= 5.0.0-RC1, < 5.8.21, >= 3.0.0, < 4.16.17 5.8.21, 4.16.17

Verweise

CVSS-Wert -
CVSS-Vektor
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:N/VA:H/SC:N/SI:N/SA:N/E:P
Schwäche (CWE)
CWE-202, CWE-770
Plattform
Composer
Paket
craftcms/cms
Veröffentlicht
05.01.2026
Aktualisiert
11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-v64r-7wg9-23pr - CC BY 4.0

Schwachstellenhistorie: craftcms/cms

Alle veröffentlichten Schwachstellen dieses Pakets (Composer-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (127) im Archiv
Einträge insgesamt
127
Erste → letzte
07.2021 08.2026
Ohne Fix
6
In Angriffen ausgenutzt
4

Verteilung nach Schweregrad

  • Kritisch 9
  • Hoch 41
  • Mittel 65
  • Niedrig 12

Veröffentlichungen pro Jahr

Schweregrad:
  1. Unauthenticated Craft CMS users can trigger a database backup dieser Eintrag
    Hoch CVE-2025-68456 >= 5.0.0-RC1, < 5.8.21, >= 3.0.0, < 4.16.17 5.8.21, 4.16.17
  2. Craft CMS: Passkey login accepts replayed WebAuthn assertions
    Kritisch CVE-2026-72780 >= 5.0.0-RC1, < 5.10.5 5.10.5
  3. Craft CMS: Arbitrary user password reset leading to administrator account takeover
    Hoch CVE-2026-72786 >= 5.0.0-RC1, < 5.10.8 5.10.8
  4. Craft CMS: Authenticated RCE through Twig sandbox escape
    Hoch CVE-2026-72781 >= 5.0.0-RC1, < 5.10.7, >= 4.0.0-RC1, < 4.18.3 5.10.7, 4.18.3
  5. Craft CMS: Authenticated RCE via `condition.config` JSON cleanse bypass
    Hoch CVE-2026-72778 >= 5.0.0-RC1, < 5.10.6, >= 4.0.0-RC1, < 4.18.2 5.10.6, 4.18.2
  6. Craft CMS: RCE via missing cleanseConfig in FieldsController::actionRenderCardPreview
    Hoch CVE-2026-56382 >= 5.5.0, < 5.9.14 5.9.14
  7. Craft CMS: Potential authenticated Remote Code Execution via referrer redirect
    Hoch CVE-2026-55794 >= 5.9.0, < 5.10.0 5.10.0
  8. Craft CMS: DOM XSS via GitHub issue title in CraftSupport widget
    Hoch CVE-2026-55790 >= 5.0.0-RC1, < 5.9.23, >= 4.0.0-RC1, < 4.17.16 5.9.23, 4.17.16
  9. Craft CMS Vulnerable to Unauthorized Deletion of Destination Folders During Forced Moves
    Hoch CVE-2026-50282 >= 5.0.0-RC1, < 5.9.21, >= 4.0.0-RC1, < 4.17.14 5.9.21, 4.17.14
  10. Craft CMS's mass assignment via id in newAttributes during bulk duplicate overwrites existing elements
    Hoch CVE-2026-50281 >= 5.7.0, < 5.9.21 5.9.21
  11. Craft CMS: Missing peer-permission check in `AssetsController::actionDeleteFolder` allows deletion of other users' assets
    Hoch CVE-2026-50284 >= 5.0.0-RC1, < 5.9.22, >= 4.0.0-RC1, < 4.17.15 5.9.22, 4.17.15
  12. Craft CMS: Authorship spoofing in `entries/save-entry` via pre-check/post-mutation authorization gap
    Hoch CVE-2026-50279 >= 5.0.0-RC1, < 5.9.21 5.9.21
  13. Craft CMS: Blind SSRF and Arbitrary JavaScript Injection via Host Header Poisoning in actionResourceJs
    Kritisch CVE-2026-55791 >= 5.0.0-RC1, < 5.10, >= 4.0.0-RC1, < 4.18 5.10, 4.18
  14. Craft CMS's Missing Volume Permission Check in AssetsController::actionShowInFolder Allows Information Disclosure
    Hoch CVE-2026-44012 >= 5.0.0-RC1, < 5.9.18 5.9.18
  15. Craft CMS has Potential Authenticated Remote Code Execution via Malicious Attached Behavior
    Hoch CVE-2026-44011 >= 4.0.0, < 4.17.12, >= 5.0.0, < 5.9.18 4.17.12, 5.9.18
  16. Craft CMS's Missing Authorization in GraphQL Address Resolver Allows Cross-Scope PII Disclosure
    Hoch CVE-2026-44010 >= 5.0.0, < 5.9.18, >= 4.0.0, < 4.17.12 5.9.18, 4.17.12
  17. Craft CMS is Vulnerable to Authenticated Remote Code Execution via Malicious Attached Behavior
    Hoch CVE-2026-33157 >= 5.6.0, < 5.9.13 5.9.13
  18. Craft CMS Vulnerable to Privilege Escalation/Bypass through UsersController->actionImpersonateWithToken()
    Hoch CVE-2026-32267 >= 4.0.0-RC1, < 4.17.6, >= 5.0.0-RC1, < 5.9.12 4.17.6, 5.9.12
  19. Craft CMS vulnerable to behavior injection RCE ElementIndexesController and FieldsController
    Hoch CVE-2026-32264 >= 4.0.0-RC1, < 4.17.5, >= 5.0.0-RC1, < 5.9.11 4.17.5, 5.9.11
  20. Craft CMS vulnerable to behavior injection RCE via EntryTypesController
    Hoch CVE-2026-32263 >= 5.6.0, < 5.9.11 5.9.11
  21. CraftCMS has an RCE vulnerability via relational conditionals in the control panel
    Hoch CVE-2026-31857 >= 5.0.0-RC1, < 5.9.9, >= 4.0.0-beta.1, < 4.17.4 5.9.9, 4.17.4
Mehr anzeigen (20) 21 von 50 angezeigt

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.