PT-2026-7145 · Craft · Craft

Mhe4Am · Publicado 2026-02-09 · Atualizado 2026-02-11 · CVE-2026-25495

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do Craft 4.0.0-RC1 até 4.16.17 Versões do Craft 5.0.0-RC1 até 5.8.21

Descrição O Craft é uma plataforma para criação de experiências digitais. O endpoint da API element-indexes/get-elements é vulnerável a Injeção de SQL através do parâmetro criteria[orderBy] dentro do corpo JSON. A aplicação não sanitiza adequadamente a entrada recebida através deste parâmetro antes de utilizá-la em consultas ao banco de dados. Um atacante autenticado com acesso ao Painel de Controle pode injetar SQL arbitrário na cláusula ORDER BY omitindo viewState[order] ou definindo ambos para o mesmo payload.

Recomendações Atualize para a versão 4.16.18 do Craft ou posterior. Atualize para a versão 5.8.22 do Craft ou posterior.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2026-25495

GHSA-2453-MPPF-46CJ

Produtos afetados

Craft

Referências · 14

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/25xxx/CVE-2026-25495.json · Exploit
• https://github.com/craftcms/cms · Nota
• https://github.com/craftcms/cms/releases/tag/5.8.22 · Nota
• https://github.com/craftcms/cms/security/advisories/GHSA-2453-mppf-46cj · Correção
• https://github.com/craftcms/cms/commit/96c60d775c644ff0a0276da52fe29e11d4cd38d2 · Correção
• https://github.com/craftcms/cms/releases/tag/4.16.18 · Nota
• https://twitter.com/CVEnew/status/2020959690088214650 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2020978785852477619 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-2453-mppf-46cj · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-25495 · Nota de Segurança
• https://reddit.com/r/VulnMatter/comments/1r1w0bk/resumen_diario_de_vulnerabilidades_11022026 · Publicação no Reddit
• https://osv.dev/vulnerability/CVE-2026-25495 · Aviso do Fabricante
• https://twitter.com/_cvereports/status/2021006219285008880 · Publicação no Twitter
• https://reddit.com/r/VulnMatter/comments/1r1vyjc/resumen_diario_de_vulnerabilidades_11022026 · Publicação no Reddit