Niski Odebrany

CVE-2026-46696

opublikowano: 14.09.2026, 20:17

modyfikacja: 14.09.2026, 20:17

Ocena CVSS

3.3

Niski · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:L/I:L/A:N

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

October System udostępnia moduł systemowy dla Systemu Zarządzania Treścią October. Wersje wcześniejsze niż 3.7.17 i 4.2.21 mają lukę w polityce bezpieczeństwa piaskownicy Twig, która umożliwiała obejście łańcuchowe, gdy włączony jest `cms.safe_mode`. Magazyn sesji Laravel został udostępniony Twigowi z nieograniczonym dostępem do metod, a surowe metody SQL dostępne poprzez przekazywanie `__call` firmy Eloquent nie zostały zablokowane w całym łańcuchu konstruktorów. Po połączeniu użytkownik zaplecza z dostępem do edycji znaczników CMS może odczytywać dowolne wartości bazy danych za pomocą surowych wyrażeń SQL i zapisywać w kluczu sesji uwierzytelniania zaplecza, tworząc sesję zaplecza jako inny istniejący użytkownik. Zakres oddziaływania jest wąski. Tryb awaryjny to niszowa funkcja, używana głównie w instalacjach demonstracyjnych oraz w scenariuszach z wieloma dzierżawcami lub z edytorem współdzielonym, w których niezaufani użytkownicy celowo otrzymują dostęp do edytora znaczników CMS. Standardowe wdrożenia produkcyjne nie włączają trybu awaryjnego, ponieważ zgodnie z normalnymi październikowymi wytycznymi CMS dostęp do zaplecza – w tym edycja znaczników – jest ograniczony do zaufanych administratorów, a bezpośrednie wstrzykiwanie PHP poprzez znaczniki jest już możliwe bez trybu awaryjnego w tej konfiguracji. Ten problem dotyczy tylko witryn, które spełniają wszystkie następujące warunki: włączony jest tryb „cms.safe_mode” (celowe wyrażenie zgody na demonstracje lub scenariusze niezaufanego edytora; witryna ma co najmniej jednego użytkownika zaplecza z dostępem do edycji znaczników CMS, któremu nie można ufać jako pełnoprawny administrator; oraz witryna ma co najmniej jedno istniejące konto superużytkownika, którego sesję może podszyć się użytkownik o niższych uprawnieniach. Luka została załatana w wersji 3.7.17 i v4.2.21. Magazyn sesji Laravel jest teraz opakowany w proxy, które udostępnia tylko jawny podzbiór metod odczytu/zapisu i odrzuca zapisy do zarezerwowanych prefiksów kluczy sesji (`admin_auth`, `october_auth`, `login_*`, `_token` i inne wewnętrzne elementy struktury Raw SQL i metody podzapytań (`selectRaw`, `whereRaw`, `orderByRaw`, `joinSub` i powiązane) są teraz blokowane w `Query\Builder`, `Eloquent\Builder` i `Eloquent\Model`, więc lista zablokowanych jest spójna w całym łańcuchu przekazywania `__call`. Wszystkie witryny obsługujące `cms.safe_mode` zachęcamy do aktualizacji do najnowszej, poprawionej wersji. Dostępne jest obejście. Ogranicz dostęp do edycji znaczników CMS tylko do całkowicie zaufanych administratorów – standardowo w październiku Zalecenia CMS dla każdego wdrożenia. Należy pamiętać, że wyłączenie `cms.safe_mode` nie jest obejściem; tryb awaryjny to granica, na którą wpływa ten problem, a wyłączenie go powoduje usunięcie jedynej piaskownicy pomiędzy edytorami znaczników a serwerem.

October System provides the system module for October Content Management System. Versions prior to 3.7.17 and 4.2.21 have a vulnerability in the Twig sandbox security policy that allowed a chained bypass when `cms.safe_mode` is enabled. The Laravel session store was exposed to Twig with unrestricted method access, and raw SQL methods reachable through Eloquent's `__call` forwarding were not blocked across the full builder chain. When combined, a backend user with CMS markup editing access could read arbitrary database values via raw SQL expressions and write to the backend authentication session key, forging a backend session as another existing user. The scope of impact is narrow. Safe Mode is a niche feature, primarily used for demo installations and multi-tenant or shared-editor scenarios where untrusted users are deliberately granted access to the CMS markup editor. Standard production deployments do not enable Safe Mode, because under normal October CMS guidance backend access - including markup editing - is restricted to trusted administrators, and direct PHP injection through markup is already possible without Safe Mode in that configuration. This issue only affects sites that meet all of the following conditions: `cms.safe_mode` is enabled (a deliberate opt-in for demos or untrusted-editor scenarios; the site has at least one backend user with CMS markup editing access who is not intended to be trusted as a full administrator; and the site has at least one existing superuser account whose session the lower-privileged user can impersonate. The vulnerability has been patched in v3.7.17 and v4.2.21. The Laravel session store is now wrapped in a proxy that exposes only an explicit subset of read/write methods and rejects writes to reserved session key prefixes (`admin_auth`, `october_auth`, `login_*`, `_token`, and other framework internals). Raw SQL and subquery methods (`selectRaw`, `whereRaw`, `orderByRaw`, `joinSub`, and related) are now blocked on `Query\Builder`, `Eloquent\Builder`, and `Eloquent\Model` so the blocklist is consistent across the `__call` forwarding chain. All sites that enable `cms.safe_mode` are encouraged to upgrade to the latest patched version. A workaround is available. Restrict CMS markup editing access to fully trusted administrators only - the standard October CMS recommendation for any deployment. Note that disabling `cms.safe_mode` is not a workaround; Safe Mode is the boundary this issue affects, and disabling it removes the only sandbox between markup editors and the server.

>_ Słabości (CWE)

CWE-269 CWE-284

>_ Referencje

https://github.com/octobercms/october/security/advisories/GHSA-xv9m-fm3w-8w5x

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve