Craft CMS versions >= 5.0.0-RC1 before 5.10.7 and >= 4.0.0-RC1 before 4.18.3 contain a remote code execution vulnerability in the Twig sandbox mechanism. Because Craft marks the ElementInterface as safe (via the AllowedInSandbox attribute) and the sandbox allowlisting extends to the entire class hierarchy (craft\base\Component up to yii\base\Component), an authenticated attacker with permission to access the control panel can render a malicious Twig template that abuses the yii\base\Component arbitrary function-call gadget to execute arbitrary code, even when the Twig sandbox is enabled via enableTwigSandbox().
References
Configurations
No configuration.
History
24 Oct 2026, 15:10
| Type | Values Removed | Values Added |
|---|---|---|
| Summary | (es) Las versiones de Craft CMS mayor o igual que 5.0.0-RC1 anteriores a 5.10.7 y mayor o igual que 4.0.0-RC1 anteriores a 4.18.3 contienen una vulnerabilidad de ejecución remota de código en el mecanismo de sandbox de Twig. Debido a que Craft marca la ElementInterface como segura (a través del atributo AllowedInSandbox) y la lista de permitidos del sandbox se extiende a toda la jerarquía de clases (craft\base\Component hasta yii\base\Component), un atacante autenticado con permiso para acceder al panel de control puede renderizar una plantilla Twig maliciosa que abusa del gadget de llamada a función arbitraria de yii\base\Component para ejecutar código arbitrario, incluso cuando el sandbox de Twig está habilitado a través de enableTwigSandbox(). |
23 Oct 2026, 19:10
| Type | Values Removed | Values Added |
|---|---|---|
| Summary |
|
Information
Published : 2026-08-11 13:19
Updated : 2026-10-24 15:10
NVD link : CVE-2026-72781
Mitre link : CVE-2026-72781
CVE.ORG link : CVE-2026-72781
JSON object : View
Products Affected
No product.
CWE
CWE-693
Protection Mechanism Failure