Vulnerabilidad en cms de craftcms (CVE-2026-41130)
Gravedad CVSS v4.0:
MEDIA
Tipo:
CWE-918
Falsificación de solicitud en servidor (SSRF)
Fecha de publicación:
22/04/2026
Última modificación:
26/10/2026
Descripción
Craft CMS es un sistema de gestión de contenido (CMS). En las versiones de la rama 4.x hasta la 4.17.8 y de la rama 5.x hasta la 5.9.14, el endpoint ’resource-js’ en Craft CMS permite peticiones no autenticadas para hacer proxy de recursos JavaScript remotos. Cuando ’trustedHosts’ no está explícitamente restringido (configuración por defecto), la aplicación confía en el encabezado Host proporcionado por el cliente. Esto permite a un atacante controlar la ’baseUrl’ derivada, que se utiliza en la validación de prefijos dentro de ’actionResourceJs()’. Al proporcionar un encabezado Host malicioso, el atacante puede hacer que el servidor emita peticiones HTTP arbitrarias, lo que lleva a la falsificación de petición del lado del servidor (SSRF). Las versiones 4.17.9 y 5.9.15 aplican un parche al problema.
Impacto
Puntuación base 4.0
5.50
Gravedad 4.0
MEDIA