CVE-2026-115935— 控制面板 API 响应模拟绕过安全密钥导致服务器 RCE
一分钟漏洞结论
影响对象
craftcms cms
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
动作允许任何已认证的控制台用户传入伪造的 Craft API 响应头。 仅拥有 权限的非管理员用户可以在 头中插入换行符。Craft 在将此值写入 文件时未移除这些换行符。 这使得攻击者能够将一个已知的 注入到 文件中。Craft 加载该密钥后，攻击者即可伪造一个包含 Twig 回调函数的已签名登录重定向请求。 此漏洞与之前的报告不同：之前的报告是通过绕过 Twig 沙箱来读取现有密钥，而本报告则是通过伪造 API 响应头并利用 CRLF 注入来替换密钥。修复其中一个漏洞来源并不能解决另一个问题。
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-115935 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Control panel only API response emulation replaces "securityKey" and reaches server RCE
来源: CVE Program / CVE List V5
Vulnerability Description
The app/process-api-response-headers action accepts fake Craft API response headers from any authenticated control panel user.
A non-admin user with only accessCp can place newline characters in X-Craft-Plugin-Licenses. Craft passes this value to its .env writer without removing the newlines.
This lets the user insert a new attacker-known CRAFT_SECURITY_KEY into .env. After Craft loads that key, the user can forge a signed login redirect containing a Twig system() callback.
This is different from the previous report. That report reads the existing key through a Twig sandbox bypass. This report replaces the key through fake API headers and CRLF injection. Fixing either source does not fix the other.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
来源: CVE Program / CVE List V5
Vulnerability Type
对生成代码的控制不恰当(代码注入)
来源: CVE Program / CVE List V5
受影响产品
二、漏洞 CVE-2026-115935 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-115935 的情报信息
请登录查看更多情报信息。
CVE-2026-115935 厂商页面 (1)
CVE-2026-115935 其他参考 (3)
-
https://github.com/craftcms/cms/security/advisories/GHSA-9hp6-3565-gvh5 third-party-advisory
-
https://github.com/craftcms/cms/releases/tag/5.11.2 release-notes
-
同批安全公告 · craftcms · 2026-10-23 · 共 3 条
| CVE-2026-115938 | 8.8 HIGH | Twig 低权限沙箱逃逸导致远程代码执行漏洞 |
| CVE-2026-115937 | 7.5 HIGH | 支付系统未认证支付重用漏洞 |
IV. Related Vulnerabilities
V. Comments for CVE-2026-115935
暂无评论