PT-2026-34003 · October · October

Publicado 2026-04-21 · Atualizado 2026-04-22 · CVE-2026-26274

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.6

Média

Vetor base

AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H

Name of the Vulnerable Software and Affected Versions October versões anteriores a 3.7.14 October versões anteriores a 4.1.10

Description Uma falha na política de segurança do sandbox Twig permite operações de escrita no banco de dados quando o cms.safe mode está habilitado. Usuários de backend com permissões de Desenvolvedor podem usar a marcação de template Twig para realizar operações de inserção, atualização e exclusão em qualquer tabela do banco de dados por meio do construtor de consultas, que está incluído na lista de permissões do sandbox.

Recommendations Atualizar para a versão 3.7.14 Atualizar para a versão 4.1.10

Correção

Incomplete List of Disallowed Inputs

Incorrect Authorization

Enumeração de Fraquezas

CWE-184

CWE-863

Identificadores relacionados

CVE-2026-26274

GHSA-H6JM-F4HH-FW27

Produtos afetados

October

Referências · 8

• https://github.com/octobercms/october/security/advisories/GHSA-h6jm-f4hh-fw27 · Nota
• https://github.com/octobercms/october · Nota
• https://osv.dev/vulnerability/GHSA-h6jm-f4hh-fw27 · Aviso do Fabricante
• https://twitter.com/infoflowcloud/status/2046637669682184697 · Publicação no Twitter
• https://reddit.com/r/VulnMatter/comments/1ssjoms/resumen_diario_de_vulnerabilidades_22042026 · Publicação no Reddit
• https://reddit.com/r/VulnMatter/comments/1ssnpas/resumen_diario_de_vulnerabilidades_22042026 · Publicação no Reddit
• https://nvd.nist.gov/vuln/detail/CVE-2026-26274 · Nota de Segurança
• https://twitter.com/CVEnew/status/2046636252082942263 · Publicação no Twitter