craftcms cms
Craft CMS: SQL injection non autenticata nella ricerca elementi, accesso admin
Il problema, secondo i dati ufficiali
- Nell'endpoint di ricerca degli elementi di Craft CMS il parametro "attribute" viene inserito nella query SQL senza essere filtrato, e le istruzioni preparate emulate di PDO consentono di eseguire più istruzioni di seguito (stacked statements).
- Un attaccante remoto può leggere e scrivere nel database senza bisogno di un account. Può impostare il flag admin o sovrascrivere gli hash delle password nella tabella degli utenti per ottenere accesso da amministratore.
- L'attacco avviene via rete, quindi anche da internet se il sito è esposto.
- Secondo la CISA l'attacco si può automatizzare.
Cosa fare
- Aggiorna cms a una di queste versioni o successive, secondo il ramo che usi: 4.18.9, 5.11.2.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Versioni interessate
- cms: dalla 4.0.0 alla 4.18.9 esclusa
- cms: dalla 5.0.0 alla 5.11.2 esclusa
Ne parlano
- Risolte vulnerabilità in Craft CMS — CSIRT Italia, 10 novembre 2026
Fonti ufficiali
- github.com — avviso del produttore
- www.vulncheck.com — riferimento
Descrizione ufficiale (in inglese)
Craft CMS 4.0.0 before 4.18.9 and 5.0.0 before 5.11.2 contains an unauthenticated SQL injection vulnerability in the element search endpoint because the attribute parameter is concatenated into the query unsanitized and emulated PDO prepares allow stacked statements. Remote attackers can read and write the database, setting the admin flag or overwriting password hashes in the users table to gain administrator access.
Non sai se ti riguarda?
Se usi craftcms cms e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Ultimo aggiornamento: 13 novembre 2026. Prima di intervenire verifica l'avviso del produttore.