EXPLOIT PÚBLICOEXPLOTADA ACTIVAMENTE

CVE-2025-32432 Ejecución remota de código en Craft CMS

Craft CMS es vulnerable a ejecución remota de código, un vector de ataque de alto impacto y baja complejidad. Afecta desde 3.0.0-RC1 hasta antes de 3.9.15, desde 4.0.0-RC1 hasta antes de 4.14.15 y desde 5.0.0-RC1 hasta antes de 5.6.17; se corrigió en 3.9.15, 4.14.15 y 5.6.17.

Alerta de Nureq Monitor

Detectada 13 OCT · 05:01

CVSS 3.1

10.0CRÍTICA

PROBABILIDAD DE EXPLOTACIÓN (EPSS)

99,8 % PERCENTIL 100

EXPLOTACIÓN ACTIVA

Sí DESDE 20/03/2026

EXPLOIT PÚBLICO

Sí 1 REPOSITORIO

Qué es CVE-2025-32432

EXPLOTADA ACTIVAMENTELa agencia de ciberseguridad de Estados Unidos (CISA) la incluyó el 20 de marzo de 2026 en su catálogo de vulnerabilidades explotadas en ataques reales, con plazo de corrección para organismos federales hasta el 3 de abril de 2026. Corregirla es prioritario.

Productos y versiones afectadas

craftcms cms
- >= 3.0.0-RC1, < 3.9.15
- >= 4.0.0-RC1, < 4.14.15
- >= 5.0.0-RC1, < 5.6.17

Qué hacer

Verificá si usás cms y en qué versión: el rango afectado figura arriba.
Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
Priorizá la corrección: ya se usa en ataques reales, así que el riesgo de ataque es alto.
Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Exploits y pruebas de concepto públicas

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

l0lsuit/CVE-2025-32432-craftcms-rce Working PoC + debugging writeup for CVE-2025-32432 (Craft CMS pre-auth RCE)PUBLICADO 13 OCT · 05:01

Calculadora CVSS

CVSS 3.1 · 10.0 CRÍTICA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:L

VECTOR DE ATAQUE (AV): Red
COMPLEJIDAD DEL ATAQUE (AC): Baja
PRIVILEGIOS REQUERIDOS (PR): Ninguno
INTERACCIÓN DEL USUARIO (UI): Ninguna
ALCANCE (S): Cambiado
CONFIDENCIALIDAD (C): Alta
INTEGRIDAD (I): Alta
DISPONIBILIDAD (A): Baja

Abrir la calculadora completa

Descripción original

Craft is a flexible, user-friendly CMS for creating custom digital experiences on the web and beyond. Starting from version 3.0.0-RC1 to before 3.9.15, 4.0.0-RC1 to before 4.14.15, and 5.0.0-RC1 to before 5.6.17, Craft is vulnerable to remote code execution. This is a high-impact, low-complexity attack vector. This issue has been patched in versions 3.9.15, 4.14.15, and 5.6.17, and is an additional fix for CVE-2023-41892.

Referencias

github.com/craftcms/cms/security/advisories/GHSA-f3gw-9ww9-jmc3X_REFSOURCE_CONFIRM
github.com/craftcms/cms/commit/e1c85441fa47eeb7c688c2053f25419bc0547b47X_REFSOURCE_MISC
github.com/craftcms/cms/blob/3.x/CHANGELOG.md#3915---2025-04-10-criticalX_REFSOURCE_MISC
github.com/craftcms/cms/blob/4.x/CHANGELOG.md#41415---2025-04-10-criticalX_REFSOURCE_MISC
github.com/craftcms/cms/blob/5.x/CHANGELOG.md#5617---2025-04-10-criticalX_REFSOURCE_MISC
sensepost.com/blog/2025/investigating-an-in-the-wild-campaign-using-rce-in-craftcms/TECHNICAL-DESCRIPTION · EXPLOIT
www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-32432GOVERNMENT-RESOURCE

Historial de la alerta

13 OCT · 05:01EXPLOIT PÚBLICO Se publicó el repositorio l0lsuit/CVE-2025-32432-craftcms-rce.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.