Lưu ý: Dữ liệu này chỉ có tính chất tham khảo, phục vụ nghiên cứu an ninh mạng.CyStack khuyến nghị người dùng không sử dụng các thông tin này nhằm các mục đích bất hợp pháp
Lỗ hổng CVE-2026-26274 là lỗ hổng thuộc các loại Incomplete List of Disallowed Inputs và Incorrect Authorization, ảnh hưởng tới october (phiên bản bị ảnh hưởng: >= 4.0.0, < 4.1.10 và < 3.7.14). Lỗ hổng này được xếp hạng ở mức Trung bình, với điểm CVSS 6.6. Các nguồn hiện có chưa ghi nhận lỗ hổng này bị khai thác.
October là một Hệ thống Quản lý Nội dung (CMS) và nền tảng web. Trước các phiên bản 3.7.14 và 4.1.10, một lỗ hổng đã được xác định trong chính sách bảo mật của Twig sandbox, cho phép thực hiện các thao tác ghi cơ sở dữ liệu khi cms.safe_mode được bật. Người dùng backend có quyền Developer có thể sử dụng markup của Twig template để thực hiện các thao tác insert, update và delete trên bất kỳ bảng cơ sở dữ liệu nào thông qua query builder, thành phần được đưa vào allow-list của sandbox. Lỗ hổng này đã được khắc phục trong các phiên bản 3.7.14 và 4.1.10.
october/system:< 3.7.14 bị ảnh hưởng; bản sửa được xác định là 3.7.14.>= 4.0.0, < 4.1.10 bị ảnh hưởng; bản sửa được xác định là 4.1.10.cms.safe_mode và cấp quyền Developer cho người dùng backend. Trạng thái của các nhánh phiên bản khác ngoài những phạm vi trên không được bản ghi xác nhận.OctoberCMS, sản phẩm October CMS, bị ảnh hưởng trong component october/system bởi lỗi trong chính sách bảo mật của Twig sandbox. Khi cms.safe_mode được bật, query builder vẫn nằm trong danh sách được phép của sandbox nhưng các thao tác ghi cơ sở dữ liệu không bị chặn đầy đủ. Người dùng backend đã xác thực và có quyền Developer có thể đưa markup của Twig template vào để thực hiện các thao tác insert, update và delete trên bất kỳ bảng cơ sở dữ liệu nào. Đây là sự kết hợp của danh sách đầu vào bị cấm chưa đầy đủ và kiểm tra phân quyền không chính xác, tương ứng với CWE-184 và CWE-863 trong bản ghi. Bản sửa lỗi cũng chặn các thao tác insert, update, delete và truncate trên query builder và các đối tượng model trong Twig sandbox. Bằng chứng hiện có không nêu quy tắc nội bộ cụ thể đã bị thiếu hoặc endpoint backend cụ thể dùng để gửi template.
Đường khai thác có thể tiếp cận qua mạng thông qua backend của October CMS. Kẻ tấn công cần tài khoản backend đã xác thực, quyền Developer và một triển khai đang bật cms.safe_mode; không cần người dùng khác tương tác thêm theo các thuộc tính tấn công trong bản ghi. Bản ghi đánh dấu không có public exploit được xác định, nhưng trạng thái khai thác thực tế không được xác nhận vì trường known-exploited không có giá trị. Các nguồn được xem xét không nêu exploit cụ thể, chiến dịch, nạn nhân hoặc indicator of compromise.
Kết quả kỹ thuật chính là khả năng thực hiện các thao tác ghi cơ sở dữ liệu trái phép từ Twig template, bao gồm sửa đổi hoặc xóa dữ liệu trong bất kỳ bảng nào thông qua query builder. Vì người dùng cần quyền Developer, đây không phải là đường tấn công unauthenticated và không tự nó chứng minh việc leo thang đặc quyền từ tài khoản thông thường. Các thao tác phá hủy dữ liệu có thể làm mất tính toàn vẹn của nội dung và trạng thái ứng dụng, đồng thời có khả năng gây gián đoạn dịch vụ nếu ảnh hưởng đến bảng thiết yếu. Mô tả nguồn tập trung vào thao tác ghi; bằng chứng hiện có không độc lập xác nhận một primitive đọc hoặc tiết lộ dữ liệu. Phạm vi thiệt hại thực tế phụ thuộc vào quyền truy cập cơ sở dữ liệu của ứng dụng và các bảng mà hệ thống sử dụng.
Lỗ hổng có thể dẫn đến thay đổi hoặc xóa trái phép dữ liệu trong bất kỳ bảng cơ sở dữ liệu nào mà tài khoản ứng dụng có thể truy cập. Tùy schema, việc này có thể làm hỏng nội dung CMS, trạng thái nghiệp vụ, tài khoản, cấu hình hoặc dữ liệu vận hành, đồng thời tạo ra công việc phục hồi và đối soát. Các thao tác xóa hoặc cập nhật sai có thể gây gián đoạn chức năng nếu làm hỏng dữ liệu mà ứng dụng cần để hoạt động. Đường khai thác bị giới hạn bởi yêu cầu tài khoản backend có quyền Developer và điều kiện cms.safe_mode đang bật. Advisory cũng nêu rằng khi safe mode bị tắt thì khả năng chèn PHP trực tiếp vốn đã tồn tại, vì vậy tắt safe mode không phải biện pháp khắc phục an toàn.
3.7.14, hoặc nhánh 4.x lên chính xác phiên bản 4.1.10, tùy theo nhánh đang triển khai.cms.safe_mode như một bản vá. Nguồn vendor cho biết lỗ hổng này liên quan đến khi safe mode được bật và việc tắt nó đã cho phép chèn PHP trực tiếp.october/system trên từng máy chủ.cms.safe_mode và xác định các hệ thống vừa bật tùy chọn này vừa cho phép truy cập backend.insert, update, delete hoặc truncate. Đây là biện pháp rà soát phòng ngừa, không phải indicator được vendor xác nhận.Giải pháp CyStack VulnScan liên tục phát hiện tài sản, xác minh lỗ hổng và giúp đội ngũ bảo mật ưu tiên khắc phục cho toàn bộ doanh nghiệp.
vi
