Zaloguj się
Deutsch English Español Polski
Średnia

Statamic Vulnerable to Server-Side Request Forgery via Glide (DNS rebinding)

  • Ujawniono: 26.06.2026
  • Aktualizacja: 11.10.2026 10:22

Impact

The Glide image proxy's URL validation could be bypassed using DNS rebinding. The remote hostname was validated as publicly routable, but resolved again when the image was actually fetched, so an attacker controlling the hostname's DNS could rebind it to an internal address after validation. This could cause the server to make HTTP requests to internal addresses — including loopback, private network, and cloud metadata endpoints.

This affects sites that pass user-supplied URLs to Glide.

Patches

This has been fixed in 5.73.24 and 6.20.1.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer statamic/cms < 5.73.24, >= 6.0.0, < 6.20.1 5.73.24, 6.20.1

Odnośniki

Ocena CVSS 4.9/10
Wektor CVSS
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:L/I:L/A:N
Słabość (CWE)
CWE-367, CWE-918
Platforma
Composer
Paczka
statamic/cms
Ujawniono
26.06.2026
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-v5c4-wcpj-x73m - CC BY 4.0

Historia podatności: statamic/cms

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (44) w archiwum
Wszystkich wpisów
44
Pierwsza → ostatnia
03.2022 08.2026
Bez poprawki
1
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 1
  • Wysoka 15
  • Średnia 25
  • Niska 3

Ujawnienia w latach

Istotność:
  1. Statamic: Account takeover via OAuth email matching without email-verification check
    Wysoka · 8.1 CVE-2026-64665 < 5.74.1, >= 6.0.0, < 6.24.0 5.74.1, 6.24.0
  2. Statamic Vulnerable to Server-Side Request Forgery via Glide (DNS rebinding) ten wpis
    Średnia · 4.9 CVE-2026-54242 < 5.73.24, >= 6.0.0, < 6.20.1 5.73.24, 6.20.1
  3. Statamic CMS's unsafe method invocation via collection sorting allows data destruction
    Wysoka · 7.4 CVE-2026-49287 < 5.73.23, >= 6.0.0, < 6.20.0 5.73.23, 6.20.0
  4. Statamic: Unsafe method invocation via query value resolution allows data destruction
    Wysoka · 8.1 CVE-2026-41175 < 5.73.20, >= 6.0.0-alpha.1, < 6.13.0 5.73.20, 6.13.0
  5. Statamic has Stored XSS via SVG Sanitization Bypass
    Wysoka · 8.7 CVE-2026-33172 >= 6.0.0-alpha.1, < 6.7.0, < 5.73.14 6.7.0, 5.73.14
  6. Statamic vulnerable to privilege escalation via stored cross-site scripting
    Wysoka · 8.7 CVE-2026-28426 < 5.73.11, >= 6.0.0-alpha.1, < 6.4.0 5.73.11, 6.4.0
  7. Statamic vulnerable to remote code execution via Antlers-enabled control panel inputs
    Wysoka · 8.0 CVE-2026-28425 < 5.73.16, >= 6.0.0-alpha.1, < 6.7.2 5.73.16, 6.7.2
  8. Statamic allows Authenticated Control Panel users to escalate privileges via elevated session bypass
    Wysoka · 8.8 CVE-2026-27939 >= 6.0.0, < 6.4.0 6.4.0
  9. Statamic is vulnerable to account takeover via password reset link injection
    Krytyczna · 9.3 CVE-2026-27593 < 5.73.10, >= 6.0.0-alpha.1, < 6.7.1 5.73.10, 6.7.1
  10. Statamic affected by privilege escalation via stored cross-site scripting
    Wysoka · 8.1 CVE-2026-27196 >= 6.0.0-alpha.1, < 6.3.2, < 5.73.9 6.3.2, 5.73.9
  11. Statamic CMS vulnerable to privilege escalation via stored cross-site scripting
    Wysoka · 8.7 CVE-2026-25759 >= 6.0.0, < 6.2.3 6.2.3
  12. Statamic Vulnerable to Superadmin Account Takeover via Stored Cross-Site Scripting and Lack of Proper X-CSRF-TOKEN Server-Side Validation
    Wysoka · 8.0 CVE-2025-64112 < 5.22.1 5.22.1
  13. Statmic CMS vulnerable to account takeover via XSS and password reset link
    Wysoka · 8.2 CVE-2024-24570 >= 4.00, < 4.46.0, < 3.4.17 4.46.0, 3.4.17
  14. Cross-site Scripting via uploaded assets
    Wysoka · 7.5 CVE-2023-48701 < 3.4.15, >= 4.0.0, < 4.36.0 3.4.15, 4.36.0
  15. Statamic CMS vulnerable to remote code execution via form uploads
    Wysoka · 8.8 CVE-2023-48217 >= 4.0.0, < 4.34.0, < 3.4.14 4.34.0, 3.4.14
  16. Statamic CMS remote code execution via front-end form uploads
    Wysoka · 8.3 CVE-2023-47129 >= 4.0.0, < 4.33.0, < 3.4.13 4.33.0, 3.4.13
  17. Statamic framework Incorrect Permission Assignment
    Wysoka · 8.8 CVE-2017-11422 < 2.6.0 2.6.0

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.