Craft CMS versions >= 5.0.0-RC1 before 5.10.6 and >= 4.0.0-RC1 before 4.18.2 interpolate environment variables and secrets (via ${ENV_VAR} strings in the elementId parameter) into Twig templates before rendering, even when the Twig sandbox is enabled. An authenticated attacker with control panel access can render a malicious sandboxed Twig template and, using a blind error-based technique across many requests, incrementally leak arbitrary environment variables and secrets. These can be abused to forge sessions (via CRAFT_SECURITY_KEY), escalate privileges, and steal database, SMTP, API, or blob storage credentials. Fixed in 5.10.6 and 4.18.2.
References
Configurations
No configuration.
History
24 Oct 2026, 15:10
| Type | Values Removed | Values Added |
|---|---|---|
| Summary | (es) Las versiones de Craft CMS mayor o igual que 5.0.0-RC1 anteriores a la 5.10.6 y mayor o igual que 4.0.0-RC1 anteriores a la 4.18.2 interpolan variables de entorno y secretos (a través de cadenas ’${ENV_VAR}’ en el parámetro elementId) en plantillas Twig antes de la renderización, incluso cuando el sandbox de Twig está habilitado. Un atacante autenticado con acceso al panel de control puede renderizar una plantilla Twig maliciosa en un sandbox y, utilizando una técnica basada en errores ciegos a través de muchas solicitudes, filtrar incrementalmente variables de entorno y secretos arbitrarios. Estos pueden ser utilizados indebidamente para falsificar sesiones (a través de CRAFT_SECURITY_KEY), escalar privilegios y robar credenciales de base de datos, SMTP, API o almacenamiento de blobs. Corregido en 5.10.6 y 4.18.2. |
23 Oct 2026, 19:10
| Type | Values Removed | Values Added |
|---|---|---|
| Summary |
|
Information
Published : 2026-08-11 13:19
Updated : 2026-10-24 15:10
NVD link : CVE-2026-72782
Mitre link : CVE-2026-72782
CVE.ORG link : CVE-2026-72782
JSON object : View
Products Affected
No product.
CWE
CWE-668
Exposure of Resource to Wrong Sphere