PT-2026-7144 · Craft · Craft

Mhe4Am · Publicado 2026-02-09 · Atualizado 2026-02-11 · CVE-2026-25494

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.9

Média

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Nome do Software Vulnerável e Versões Afetadas Versões do Craft 4.0.0-RC1 até 4.16.17 Versões do Craft 5.0.0-RC1 até 5.8.21

Descrição A mutação GraphQL saveAsset do Craft não valida corretamente os endereços IP utilizados para acessar os serviços de metadados na nuvem. O aplicativo utiliza filter var(..., FILTER VALIDATE IP) para bloquear uma lista de endereços IP, mas essa função não reconhece notações alternativas de IP, como formatos hexadecimais ou mistos. Isso permite que atacantes contornem a lista de bloqueio e potencialmente acessem metadados na nuvem. O componente vulnerável é a mutação saveAsset. O parâmetro vulnerável é o endereço IP utilizado na solicitação.

Recomendações Atualize para a versão 4.16.18 do Craft ou posterior. Atualize para a versão 5.8.22 do Craft ou posterior.

Exploit

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2026-25494

GHSA-M5R2-8P9X-HP5M

Produtos afetados

Craft

Referências · 14

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/25xxx/CVE-2026-25494.json · Exploit
• https://github.com/craftcms/cms · Nota
• https://github.com/craftcms/cms/releases/tag/5.8.22 · Nota
• https://github.com/craftcms/cms/commit/d49e93e5ba0c48939ce5eaa6cd9b4a990542d8b2 · Correção
• https://github.com/craftcms/cms/security/advisories/GHSA-m5r2-8p9x-hp5m · Correção
• https://github.com/craftcms/cms/releases/tag/4.16.18 · Nota
• https://twitter.com/CVEnew/status/2020959691078025602 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2020981345745359256 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-25494 · Nota de Segurança
• https://reddit.com/r/VulnMatter/comments/1r1w0bk/resumen_diario_de_vulnerabilidades_11022026 · Publicação no Reddit
• https://osv.dev/vulnerability/CVE-2026-25494 · Aviso do Fabricante
• https://reddit.com/r/VulnMatter/comments/1r1vyjc/resumen_diario_de_vulnerabilidades_11022026 · Publicação no Reddit
• https://osv.dev/vulnerability/GHSA-m5r2-8p9x-hp5m · Aviso do Fabricante
• https://twitter.com/_cvereports/status/2021013768663175546 · Publicação no Twitter