Vulnerabilidad en cms de craftcms (CVE-2026-72782)

Gravedad CVSS v4.0:

ALTA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

11/08/2026

Última modificación:

24/10/2026

Descripción

Las versiones de Craft CMS mayor o igual que 5.0.0-RC1 anteriores a la 5.10.6 y mayor o igual que 4.0.0-RC1 anteriores a la 4.18.2 interpolan variables de entorno y secretos (a través de cadenas ’${ENV_VAR}’ en el parámetro elementId) en plantillas Twig antes de la renderización, incluso cuando el sandbox de Twig está habilitado. Un atacante autenticado con acceso al panel de control puede renderizar una plantilla Twig maliciosa en un sandbox y, utilizando una técnica basada en errores ciegos a través de muchas solicitudes, filtrar incrementalmente variables de entorno y secretos arbitrarios. Estos pueden ser utilizados indebidamente para falsificar sesiones (a través de CRAFT_SECURITY_KEY), escalar privilegios y robar credenciales de base de datos, SMTP, API o almacenamiento de blobs. Corregido en 5.10.6 y 4.18.2.

Impacto

Vector 4.0

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N CVSS v4.0 Severidad y Métricas:

Puntuación base: 7.10 ALTA
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Ninguno
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Confidentiality (VC): Alto
Integrity (VI): Ninguno
Availability (VA): Ninguno
Confidentiality (SC): Ninguno
Integrity (SI): Ninguno
Availability (SA): Ninguno

Puntuación base 4.0

7.10

Gravedad 4.0

ALTA

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.50 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

6.50

Gravedad 3.x

MEDIA

Vulnerabilidad en cms de craftcms (CVE-2026-72782)

Descripción

Impacto

Referencias a soluciones, herramientas e información