PT-2026-34220 · Craft Cms · Craft Cms

CVE-2026-41129 · Publicado 2026-04-14 · Atualizado 2026-04-25

Positive Technologies (AI Summary) · Pt

CVSS v4.0

7.0

Alta

Vetor base

AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Craft CMS versões 4.x até 4.17.8 Craft CMS versões 5.x até 5.9.14

Descrição O Craft CMS é um sistema de gerenciamento de conteúdo (CMS) sujeito a Server-Side Request Forgery (SSRF), uma falha onde um invasor pode induzir a aplicação do lado do servidor a fazer requisições para um local não pretendido. A exploração requer que permissões específicas estejam habilitadas no esquema GraphQL, especificamente "Edit assets in the <VolumeName> volume" e "Create assets in the <VolumeName> volume."

Recomendações Atualizar as versões 4.x até 4.17.8 para a versão 4.17.9. Atualizar as versões 5.x até 5.9.14 para a versão 5.9.15.

Exploit

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2026-41129

GHSA-3M9M-24VH-39WX

Produtos afetados

Craft Cms

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/41xxx/CVE-2026-41129.json · Exploit
• https://github.com/craftcms/cms · Nota
• https://github.com/craftcms/cms/security/advisories/GHSA-3m9m-24vh-39wx · Nota
• https://github.com/craftcms/cms/commit/d20aecfaa0eae076c4154be3b17e1f9fa05ce46f · Nota
• https://osv.dev/vulnerability/GHSA-3m9m-24vh-39wx · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2048168403509338189 · Publicação no Twitter
• https://twitter.com/infoflowcloud/status/2048169261391077551 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-41129 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2026-41129 · Aviso do Fabricante