CVE-2026-123488

Adatlap

CVE: CVE-2026-123488
EUVD: EUVD-2026-118288
Eszköztípus: IT
Publikálva: 2026. 11. 06. 16:00
Frissítve: 2026. 11. 06. 16:00
Súlyosság: Kritikus
Prioritás: Normál
CWE: CWE-89

CVSS-pontszámok

Verzió	Pontszám	Súlyosság	Vektor
3.1	9,8	Kritikus	`CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
4.0	9,3	Kritikus	`CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N`

Hálózatról kihasználható · Alacsony komplexitás · Nem szükséges jogosultság · Nem szükséges felhasználói interakció

Eredeti leírás

Craft CMS 4.0.0 before 4.18.9 and 5.0.0 before 5.11.2 contains an unauthenticated SQL injection vulnerability in the element search endpoint because the attribute parameter is concatenated into the query unsanitized and emulated PDO prepares allow stacked statements. Remote attackers can read and write the database, setting the admin flag or overwriting password hashes in the users table to gain administrator access.

Érintett termékek

cms craftcms Verziók: 4.0.0 – < 4.18.9; 4.18.9, 5.0.0 – < 5.11.2; 5.11.2

Prioritás

Szint: Normál
Teendő: Különösebb intézkedés nem szükséges: a szoftvert a normál frissítési ütemezés szerint frissítse.

Kihasználási státusz

EPSS: 0,00%

Javítás

Javított verzió: 4.18.9, 5.11.2
Gyártói hivatkozás: Van patch vagy gyártói közlemény a hivatkozások között