Към съдържанието
Търсене

CVE-2026-26274: octobercms october, заобикаляне на вход и права

6.6

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, при специфични условия, с администраторски права и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

October is a Content Management System (CMS) and web platform. Prior to 3.7.14 and 4.1.10, a vulnerability was identified in the Twig sandbox security policy that allowed database write operations when cms.safe_mode is enabled. Backend users with Developer permissions could use Twig template markup to execute insert, update, and delete operations on any database table through the query builder, which is included in the sandbox allow-list. This vulnerability is fixed in 3.7.14 and 4.1.10.

Засегнати продукти

  • octobercms october: >= 4.0.0, < 4.1.10; < 3.7.14

Вид слабост

История

  • 21 април 2026 Публикувано

Други уязвимости в octobercms october

Първоизточници

CVE-2026-26274: octobercms october, заобикаляне на вход и права | freedomonline.bg