Numéro de série : AV26-1067
Date : 19 octobre 2026
En date du 19 octobre 2026, Craft CMS est touché par des vulnérabilités dans le produit suivant :
- Craft CMS
- Versions antérieures à la version 4.18.8
- Versions antérieures à la version 5.11.0
Le Centre pour la cybersécurité encourage les utilisateurs et les administrateurs à consulter les liens fournis et à installer les mises à jour nécessaires, dès qu'elles sont disponibles.
- Authenticated RCE via Twig group filter array-callable (en anglais seulement)
- Twig sandbox allowlist bypass discloses sensitive values (en anglais seulement)
- Authenticated RCE: Twig sandbox "on/as" behavior injection via "Asset::getMimeType" transform (en anglais seulement)
- Authenticated RCE: Twig sandbox "on/as" behavior injection via uncleansed "getNext/getPrev/getOwners" criteria (en anglais seulement)
- Authenticated admin RCE via Content Block field-layout JSON-string cleanse (en anglais seulement)
- Craft CMS Security Advisories (en anglais seulement)