Craft is a platform for creating digital experiences. Versions 5.0.0-RC1 through 5.8.20 and 4.0.0-RC1 through 4.16.16 are vulnerable to potential authenticated Remote Code Execution via Twig SSTI. For this to work, users must have administrator access to the Craft Control Panel, and allowAdminChanges must be enabled, which is against Craft CMS' recommendations for any non-dev environment. Alternatively, a non-administrator account with allowAdminChanges disabled can be used, provided access to the System Messages utility is available. It is possible to craft a malicious payload using the Twig `map` filter in text fields that accept Twig input under Settings in the Craft control panel or using the System Messages utility, which could lead to a RCE. Users should update to the patched versions (5.8.21 and 4.16.17) to mitigate the issue.
Craft CMS versions 5.0.0-RC1 through 5.8.20 and 4.0.0-RC1 through 4.16.16 are vulnerable to authenticated Remote Code Execution through Twig Server-Side Template Injection (SSTI) via the map filter. The vulnerability requires administrator access with allowAdminChanges enabled or access to the System Messages utility, allowing attackers to execute arbitrary code on affected servers.
تؤثر هذه الثغرة على منصة Craft CMS المستخدمة لإنشاء التجارب الرقمية، حيث يمكن للمهاجمين المصرحين بهم استغلال مرشح Twig map لحقن كود ضار. يتطلب الاستغلال إما وصول المسؤول مع تفعيل allowAdminChanges أو الوصول إلى أداة System Messages في لوحة التحكم.
منصة Craft CMS الإصدارات من 5.0.0-RC1 إلى 5.8.20 و 4.0.0-RC1 إلى 4.16.16 عرضة لثغرة تنفيذ كود بعيد مصرح به عبر حقن قوالب Twig من جانب الخادم. تتطلب الثغرة وصول المسؤول مع تفعيل allowAdminChanges أو الوصول إلى أداة System Messages، مما يسمح للمهاجمين بتنفيذ كود عشوائي على الخوادم المتأثرة.
Update Craft CMS to version 5.8.21 or 4.16.17 immediately. Disable allowAdminChanges in production environments unless absolutely necessary. Restrict access to the System Messages utility to trusted administrators only. Implement strict access controls for the Craft Control Panel and monitor for suspicious template modifications.
قم بتحديث Craft CMS إلى الإصدار 5.8.21 أو 4.16.17 فوراً. عطّل allowAdminChanges في بيئات الإنتاج ما لم يكن ضرورياً تماماً. قيّد الوصول إلى أداة System Messages للمسؤولين الموثوقين فقط. طبّق ضوابط وصول صارمة على لوحة التحكم في Craft ومراقبة التعديلات المريبة على القوالب.