Craft CMS'te sekiz açık kapatıldı, beşi kontrol paneline girebilen birinin sunucuda kod çalıştırmasına izin veriyor

PHP ile yazılmış içerik yönetim sistemi Craft CMS’teki sekiz açık için 19 Ekim’de CVE kayıtları yayımlandı. Düzeltmeler Craft 4 için 4.18.8, Craft 5 için 5.11.0 sürümünde. Açıkların büyük kısmı, Craft’ın şablon dili Twig’deki güvenlik kısıtlamalarının (sandbox) aşılmasıyla ilgili ve saldırganın kontrol paneline giriş yapabilmesini gerektiriyor. Bu, kontrol paneline giriş yapabilen bir hesabın, yönetici olmasa bile, web sunucusunda kod çalıştırabilmesi anlamına geliyor. Saldırılarda kullanıldıklarına dair bir bilgi yok.

Açıklar

Yetki atlatma, CVE-2026-112776 (CVSS 3.1: 9.8, CVSS 4.0: 9.3). Craft, tek bir kurulumda birden fazla siteyi yönetmeye izin veriyor. GraphQL arayüzü için verilen erişim anahtarları belirli bir siteyle sınırlandırılabiliyor. CVE kaydına göre içerik değiştiren GraphQL isteklerinde bu sınır denetlenmiyor. A sitesi için verilmiş bir anahtarı olan biri, B sitesinde içerik oluşturabiliyor ve siteler arasında paylaşılan kayıtları, kategorileri, etiketleri ve dosyaları silebiliyor. Yalnızca Craft 5 etkileniyor.

Uzaktan kod çalıştırma açıkları. Beş açık, kontrol paneline erişimi olan birinin web sunucusunun yetkileriyle kod çalıştırmasına izin veriyor:

• CVE-2026-112770 (CVSS 3.1: 8.8): Twig’in group filtresindeki bir kontrol eksikliği, kontrol paneli kullanıcısının sitenin kök klasörüne bir web kabuğu (webshell) yazmasına izin veriyor. Craft 4 ve 5 etkileniyor.
• CVE-2026-112772 (CVSS 3.1: 8.8): Dosya dönüştürme ayarları üzerinden Twig sandbox’ından çıkılabiliyor. Yalnızca Craft 5.
• CVE-2026-112773 (CVSS 3.1: 8.8): Kayıt sorgularına gönderilen temizlenmemiş parametrelerle sandbox’tan çıkılabiliyor. Yalnızca Craft 5.
• CVE-2026-112774 (CVSS 3.1: 7.2): Yönetici yetkisi ve allowAdminChanges ayarının açık olmasını gerektiriyor, işletim sistemi komutu çalıştırılabiliyor. Craft 5.8.0 ve sonrası.
• CVE-2026-112777 (CVSS 3.1: 7.2): Twig’in create() işlevindeki engel listesi büyük-küçük harf farkına duyarlı olduğu için atlatılabiliyor. Şablon çalıştırma yetkisi olan biri .env dosyasındaki gizli bilgileri okuyabiliyor ya da kök klasöre PHP dosyası yazabiliyor. Craft 4 ve 5 etkileniyor.

Gizli bilgilerin okunması, CVE-2026-112771 (CVSS 3.1: 6.5). Bazı Twig filtreleri sandbox kurallarını hiç sorgulamıyor. Kontrol paneli kullanıcısı bu yolla sitenin güvenlik anahtarını, veritabanı bilgilerini ve erişim anahtarlarını okuyabiliyor. Craft 4 ve 5 etkileniyor.

Hesap ele geçirme, CVE-2026-112775 (CVSS 3.1: 7.5). E-posta doğrulama kodları aktif kullanıcılar için geçersiz kılınmıyor. Kurbanın e-postasına gönderilen kodu ele geçiren biri, kurban e-posta değişikliğini onayladıktan sonra aynı kodla şifreyi sıfırlayıp hesabı ele geçirebiliyor. Bu açık için giriş yapmak gerekmiyor. Yalnızca Craft 5.

Etkilenen sürümler

• Craft CMS 4.0.0 ile 4.18.8 öncesi (CVE-2026-112770, CVE-2026-112771, CVE-2026-112777)
• Craft CMS 5.0.0 ile 5.11.0 öncesi (sekiz açığın tamamı, CVE-2026-112774 için 5.8.0 ve sonrası)

Önerilen önlemler

Craft 5 kullanıyorsanız 5.11.0’a, Craft 4 kullanıyorsanız 4.18.8’e güncelleyin. CVE-2026-112776 GraphQL anahtarlarıyla ilgili olduğundan, birden fazla siteyi yönetiyor ve dışarıya siteye özel GraphQL anahtarları veriyorsanız güncellemeyi geciktirmeyin.