CVE-2026-123488 Inyección SQL en el endpoint de búsqueda de elementos de Craft CMS
El parámetro attribute del endpoint de búsqueda de elementos se concatena sin sanitizar en la consulta y los prepares emulados de PDO permiten sentencias apiladas, lo que habilita una inyección SQL no autenticada y remota. Un atacante puede leer y escribir la base de datos, por ejemplo activar el flag de administrador o sobrescribir hashes de contraseñas en la tabla users para obtener acceso administrativo. Corrigen las versiones 4.18.9 y 5.11.2.
CVSS 3.1
- CVSS 4.09.3 · crítica
- Probabilidad de explotación · EPSS del 09/110,5 % · percentil 41
- Explotada activamenteNo confirmada
- Exploit públicoSí, 4
Afectados
craftcms cms
desde 4.0.0 hasta antes de 4.18.9
craftcms cms
desde 5.0.0 hasta antes de 5.11.2
Qué hacer
- Verificá si usás cms y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
- Priorizá la corrección: hay código de explotación público.
Exploits públicos
Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.
- fixedbyreboot/CVE-2026-123488-POC POC exploit for CVE-2026-123488 - unauthenticated SQL injection vulnerability in Craft CMS (MySQL/MariaDB backend). Admin takeover.07 NOV · 04:54
- dinosn/CVE-2026-123488-CraftCMS-Lab PoC for CVE-2026-123488: unauthenticated SQLi in the element search endpoint (CWE-89) escalating to admin via stacked UPDATE;08 NOV · 16:53
- foxcornlab/craft-cms-scanner Detection-only triage for the Craft CMS Nov 2026 batch headlined by CVE-2026-123488 (CVSS 9.8 unauthenticated SQL injection): grade 4.x/5.x installs against the 4.18.9 / 5.11.2 fixes. No traffic, no…09 NOV · 10:54
- ashrafzaryouh/CVE-2026-123488 CVE-2026-12348809 NOV · 16:45
Calculadora CVSS
CVSS 3.1 · 9.8 CRÍTICA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadAlta
CVSS 4.0 · 9.3 CRÍTICA
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataqueNinguno
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- Confidencialidad (sistema vulnerable)Alta
- Integridad (sistema vulnerable)Alta
- Disponibilidad (sistema vulnerable)Alta
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
Descripción original
Craft CMS 4.0.0 before 4.18.9 and 5.0.0 before 5.11.2 contains an unauthenticated SQL injection vulnerability in the element search endpoint because the attribute parameter is concatenated into the query unsanitized and emulated PDO prepares allow stacked statements. Remote attackers can read and write the database, setting the admin flag or overwriting password hashes in the users table to gain administrator access.
Referencias (2)
Historial (4)
- EXPLOIT PÚBLICOSe publicó fixedbyreboot/CVE-2026-123488-POC.
- EXPLOIT PÚBLICOSe publicó dinosn/CVE-2026-123488-CraftCMS-Lab.
- EXPLOIT PÚBLICOSe publicó foxcornlab/craft-cms-scanner.
- EXPLOIT PÚBLICOSe publicó ashrafzaryouh/CVE-2026-123488.
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.