Anmelden
Deutsch English Español Polski
Mittel

Server-Side Request Forgery (SSRF) in Craft CMS with Asset Uploads Mutations

  • Veröffentlicht: 14.04.2026
  • Aktualisiert: 11.10.2026 10:22

Required Permissions

The exploitation requires a few permissions to be enabled in the used GraphQL schema:

  • "Edit assets in the <VolumeName> volume"
  • "Create assets in the <VolumeName> volume"

Details

The implementation fails to restrict the URL Scheme. While the application is intended to "upload assets", there is no whitelist forcing http or https. This allows attackers to use the Gopher protocol to wrap raw TCP commands.

Impact: Combined with the DWORD bypass, an attacker can hit internal services without triggering any "127.0.0.1" string-matching filters.

Example Payload: gopher://2130706433:6379/_FLUSHALL (Targets local Redis via DWORD).

Remediation Strategy

To prevent mathematical IP obfuscation, the application must normalize the hostname before validation.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Composer-Paket craftcms/cms >= 5.0.0-RC1, < 5.9.15, >= 4.0.0-RC1, < 4.17.9 5.9.15, 4.17.9

Verweise

CVSS-Wert -
CVSS-Vektor
CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N/E:P
Schwäche (CWE)
CWE-918
Plattform
Composer
Paket
craftcms/cms
Veröffentlicht
14.04.2026
Aktualisiert
11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-3m9m-24vh-39wx - CC BY 4.0

Schwachstellenhistorie: craftcms/cms

Alle veröffentlichten Schwachstellen dieses Pakets (Composer-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (127) im Archiv
Einträge insgesamt
127
Erste → letzte
07.2021 08.2026
Ohne Fix
6
In Angriffen ausgenutzt
4

Verteilung nach Schweregrad

  • Kritisch 9
  • Hoch 41
  • Mittel 65
  • Niedrig 12

Veröffentlichungen pro Jahr

Schweregrad:
  1. Craft CMS: Passkey login accepts replayed WebAuthn assertions
    Kritisch CVE-2026-72780 >= 5.0.0-RC1, < 5.10.5 5.10.5
  2. Craft CMS: Arbitrary user password reset leading to administrator account takeover
    Hoch CVE-2026-72786 >= 5.0.0-RC1, < 5.10.8 5.10.8
  3. Craft CMS: Authenticated RCE through Twig sandbox escape
    Hoch CVE-2026-72781 >= 5.0.0-RC1, < 5.10.7, >= 4.0.0-RC1, < 4.18.3 5.10.7, 4.18.3
  4. Craft CMS: Authenticated RCE via `condition.config` JSON cleanse bypass
    Hoch CVE-2026-72778 >= 5.0.0-RC1, < 5.10.6, >= 4.0.0-RC1, < 4.18.2 5.10.6, 4.18.2
  5. Craft CMS: RCE via missing cleanseConfig in FieldsController::actionRenderCardPreview
    Hoch CVE-2026-56382 >= 5.5.0, < 5.9.14 5.9.14
  6. Craft CMS: Potential authenticated Remote Code Execution via referrer redirect
    Hoch CVE-2026-55794 >= 5.9.0, < 5.10.0 5.10.0
  7. Craft CMS: DOM XSS via GitHub issue title in CraftSupport widget
    Hoch CVE-2026-55790 >= 5.0.0-RC1, < 5.9.23, >= 4.0.0-RC1, < 4.17.16 5.9.23, 4.17.16
  8. Craft CMS Vulnerable to Unauthorized Deletion of Destination Folders During Forced Moves
    Hoch CVE-2026-50282 >= 5.0.0-RC1, < 5.9.21, >= 4.0.0-RC1, < 4.17.14 5.9.21, 4.17.14
  9. Craft CMS's mass assignment via id in newAttributes during bulk duplicate overwrites existing elements
    Hoch CVE-2026-50281 >= 5.7.0, < 5.9.21 5.9.21
  10. Craft CMS: Missing peer-permission check in `AssetsController::actionDeleteFolder` allows deletion of other users' assets
    Hoch CVE-2026-50284 >= 5.0.0-RC1, < 5.9.22, >= 4.0.0-RC1, < 4.17.15 5.9.22, 4.17.15
  11. Craft CMS: Authorship spoofing in `entries/save-entry` via pre-check/post-mutation authorization gap
    Hoch CVE-2026-50279 >= 5.0.0-RC1, < 5.9.21 5.9.21
  12. Craft CMS: Blind SSRF and Arbitrary JavaScript Injection via Host Header Poisoning in actionResourceJs
    Kritisch CVE-2026-55791 >= 5.0.0-RC1, < 5.10, >= 4.0.0-RC1, < 4.18 5.10, 4.18
  13. Craft CMS's Missing Volume Permission Check in AssetsController::actionShowInFolder Allows Information Disclosure
    Hoch CVE-2026-44012 >= 5.0.0-RC1, < 5.9.18 5.9.18
  14. Craft CMS has Potential Authenticated Remote Code Execution via Malicious Attached Behavior
    Hoch CVE-2026-44011 >= 4.0.0, < 4.17.12, >= 5.0.0, < 5.9.18 4.17.12, 5.9.18
  15. Craft CMS's Missing Authorization in GraphQL Address Resolver Allows Cross-Scope PII Disclosure
    Hoch CVE-2026-44010 >= 5.0.0, < 5.9.18, >= 4.0.0, < 4.17.12 5.9.18, 4.17.12
  16. Server-Side Request Forgery (SSRF) in Craft CMS with Asset Uploads Mutations dieser Eintrag
    Mittel CVE-2026-41129 >= 5.0.0-RC1, < 5.9.15, >= 4.0.0-RC1, < 4.17.9 5.9.15, 4.17.9
  17. Craft CMS is Vulnerable to Authenticated Remote Code Execution via Malicious Attached Behavior
    Hoch CVE-2026-33157 >= 5.6.0, < 5.9.13 5.9.13
  18. Craft CMS Vulnerable to Privilege Escalation/Bypass through UsersController->actionImpersonateWithToken()
    Hoch CVE-2026-32267 >= 4.0.0-RC1, < 4.17.6, >= 5.0.0-RC1, < 5.9.12 4.17.6, 5.9.12
  19. Craft CMS vulnerable to behavior injection RCE ElementIndexesController and FieldsController
    Hoch CVE-2026-32264 >= 4.0.0-RC1, < 4.17.5, >= 5.0.0-RC1, < 5.9.11 4.17.5, 5.9.11
  20. Craft CMS vulnerable to behavior injection RCE via EntryTypesController
    Hoch CVE-2026-32263 >= 5.6.0, < 5.9.11 5.9.11
  21. CraftCMS has an RCE vulnerability via relational conditionals in the control panel
    Hoch CVE-2026-31857 >= 5.0.0-RC1, < 5.9.9, >= 4.0.0-beta.1, < 4.17.4 5.9.9, 4.17.4
  22. CraftCMS's `ElementSearchController` Affected by Blind SQL Injection
    Hoch CVE-2026-31858 >= 5.0.0-RC1, < 5.9.9 5.9.9
  23. Craft CMS has unauthenticated activation email trigger with potential user enumeration
    Hoch CVE-2026-29069 >= 5.0.0-RC1, < 5.9.0-beta.2, >= 4.0.0-RC1, < 4.17.0-beta.2 5.9.0-beta.2, 4.17.0-beta.2
  24. Craft CMS Vulnerable to Authenticated RCE via "craft.app.fs.write()" in Twig Templates
    Kritisch CVE-2026-28697 >= 5.0.0-RC1, < 5.9.0-beta.1, >= 4.0.0-RC1, < 4.17.0-beta.1 5.9.0-beta.1, 4.17.0-beta.1
  25. Craft CMS has IDOR via GraphQL @parseRefs
    Hoch CVE-2026-28696 >= 4.0.0-RC1, < 4.17.0-beta.1, >= 5.0.0-RC1, < 5.9.0-beta.1 4.17.0-beta.1, 5.9.0-beta.1
  26. Craft CMS has Cloud Metadata SSRF Protection Bypass via DNS Rebinding
    Hoch CVE-2026-27127 >= 5.0.0-RC1, < 5.8.23, >= 3.5.0, < 4.16.19 5.8.23, 4.16.19
  27. Craft CMS Vulnerable to potential authenticated Remote Code Execution via malicious attached Behavior
    Hoch CVE-2026-25498 >= 5.0.0-RC1, < 5.8.22, >= 4.0.0-RC1, < 4.16.18 5.8.22, 4.16.18
  28. Craft CMS: GraphQL Asset Mutation Privilege Escalation
    Hoch CVE-2026-25497 >= 5.0.0-RC1, < 5.9.0-beta.1, >= 4.0.0-RC1, < 4.17.0-beta.1 5.9.0-beta.1, 4.17.0-beta.1
  29. Craft CMS Vulnerable to SQL Injection in Element Indexes via `criteria[orderBy]`
    Hoch CVE-2026-25495 >= 5.0.0-RC1, < 5.8.22, >= 4.0.0-RC1, < 4.16.18 5.8.22, 4.16.18
  30. Craft CMS vulnerable to potential authenticated Remote Code Execution via malicious attached Behavior
    Hoch CVE-2025-68455 >= 5.0.0-RC1, < 5.8.21, >= 4.0.0-RC1, < 4.16.17 5.8.21, 4.16.17
  31. Unauthenticated Craft CMS users can trigger a database backup
    Hoch CVE-2025-68456 >= 5.0.0-RC1, < 5.8.21, >= 3.0.0, < 4.16.17 5.8.21, 4.16.17
  32. Craft CMS Contains a Potential Remote Code Execution Vulnerability via Twig SSTI
    Hoch CVE-2025-46731 >= 4.0.0-RC1, < 4.14.13, >= 5.0.0-RC1, < 5.6.15 4.14.13, 5.6.15
  33. Craft CMS Allows Remote Code Execution
    Kritisch · 10.0 In Angriffen ausgenutzt CVE-2025-32432 >= 3.0.0-RC1, < 3.9.15, >= 4.0.0-RC1, < 4.14.15, >= 5.0.0-RC1, < 5.6.17 3.9.15, 4.14.15, 5.6.17
  34. Craft CMS has a potential RCE with a compromised security key
    Hoch · 8.0 In Angriffen ausgenutzt CVE-2025-23209 >= 5.0.0-RC1, < 5.5.8, >= 4.0.0-RC1, < 4.13.8 5.5.8, 4.13.8
  35. Craft CMS has potential RCE when PHP `register_argc_argv` config setting is enabled
    Kritisch · 9.8 In Angriffen ausgenutzt CVE-2024-56145 >= 5.0.0-RC1, < 5.5.2, >= 4.0.0-RC1, < 4.13.2, >= 3.0.0, < 3.9.14 5.5.2, 4.13.2, 3.9.14
  36. Craft CMS vulnerable to Potential Remote Code Execution via missing path normalization & Twig SSTI
    Hoch · 7.2 CVE-2024-52293 >= 4.0.0-RC1, < 4.12.2, >= 5.0.0-RC1, < 5.4.3 4.12.2, 5.4.3
  37. Craft CMS Arbitrary System File Read
    Hoch · 7.7 CVE-2024-52292 >= 5.0.0-alpha.1, < 5.4.9, >= 3.5.13, < 4.12.8 5.4.9, 4.12.8
  38. Local File System Validation Bypass Leading to File Overwrite, Sensitive File Access, and Potential Code Execution
    Hoch · 8.4 CVE-2024-52291 >= 5.0.0-RC1, < 5.4.6, >= 4.0.0-RC1, < 4.12.5 5.4.6, 4.12.5
  39. Craft CMS SQL injection vulnerability via the GraphQL API endpoint
    Kritisch · 9.8 CVE-2024-37843 <= 3.7.31 keine Korrektur
  40. Craft CMS Feed-Me
    Hoch · 7.5 CVE-2023-36260 < 4.6.2 4.6.2
Mehr anzeigen (11) 40 von 51 angezeigt

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.