craftcms
- Tổng số sản phẩm trong hệ sinh thái
- 8
- Tổng số lỗ hổng (90 ngày)
- 64
- Sản phẩm & Dịch vụSản phẩm & Dịch vụ
- Giải phápGiải pháp
- Bảng giáBảng giá
- Công tyCông ty
- Tài liệuTài liệu
vi
vi
Bước xác minh ngắn giúp bảo vệ dữ liệu nguồn và hạn chế yêu cầu AI tự động.
Đang xác minh...
Tính đến 08/11/2026, craftcms ghi nhận 64 lỗ hổng bảo mật trong 90 ngày gần nhất, trải trên 3 sản phẩm, trong đó 48 lỗ hổng ở mức Cao trở lên và 0 lỗ hổng đang bị khai thác tích cực (KEV), cần ưu tiên vá ngay.
Trong 90 ngày gần nhất, cms là sản phẩm có nhiều lỗ hổng bảo mật nhất trong hệ sinh thái craftcms, với 62 lỗ hổng, chiếm khoảng 96,88% tổng số lỗ hổng toàn hãng trong giai đoạn này.
Giải pháp CyStack VulnScan liên tục phát hiện tài sản, xác minh lỗ hổng và giúp đội ngũ bảo mật ưu tiên khắc phục cho toàn bộ doanh nghiệp.
CVE-2026-79990GQL entry mutation `siteId` bypasses schema site scope, enabling cross-site content read/write/deleteCVE-2026-79989Arbitrary user password reset leading to administrator account takeoverCVE-2026-79988Authenticated RCE through Twig sandbox escapeCVE-2026-78416Authenticated RCE via `condition.config` JSON cleanse bypassCVE-2026-72787Craft CMS 5.0.0-RC1 before 5.10.8 Stored XSS via Draft Name| Lỗ hổng | Tình trạng khai thác | Bản vá | Sản phẩm bị ảnh hưởng | Ngày phát hành | Mức độ nghiêm trọng |
|---|---|---|---|---|---|
CVE-2026-79990GQL entry mutation `siteId` bypasses schema site scope, enabling cross-site content read/write/delete | Tình trạng khai thácChưa bị khai thác | Bản váCó |
| Sản phẩm bị ảnh hưởngcms |
| Ngày phát hành02/09/2026 |
| Mức độ nghiêm trọngCao |
CVE-2026-79989Arbitrary user password reset leading to administrator account takeover | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngcms | Ngày phát hành02/09/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-79988Authenticated RCE through Twig sandbox escape | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngcms | Ngày phát hành27/08/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-78416Authenticated RCE via `condition.config` JSON cleanse bypass | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngcms | Ngày phát hành24/08/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-72787Craft CMS 5.0.0-RC1 before 5.10.8 Stored XSS via Draft Name | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngcms | Ngày phát hành12/08/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-72786Craft CMS 5.0.0-RC1 before 5.10.8 Authentication Bypass via Password Reset | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngcms | Ngày phát hành12/08/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-72785Craft CMS before 5.10.6 Authorization Bypass via structures/move-element | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngcms | Ngày phát hành11/08/2026 | Mức độ nghiêm trọngNghiêm trọng |
|---|
CVE-2026-72784Craft CMS 5.0.0-RC1 before 5.10.6 SSRF via GraphQL asset mutation | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngcms | Ngày phát hành11/08/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-72783Craft CMS 5.0.0-RC1 before 5.10.6 Path Traversal via ensurePathIsContained | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngcms | Ngày phát hành11/08/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-72782Craft CMS 5.0.0-RC1 before 5.10.6 Environment Variable Leak | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngcms | Ngày phát hành11/08/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-72781Craft CMS 5.0.0-RC1 before 5.10.7 Remote Code Execution via Twig Sandbox Escape | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngcms | Ngày phát hành11/08/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-72780Craft CMS before 5.10.5 WebAuthn Assertion Replay via login-with-passkey | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngcms | Ngày phát hành11/08/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-72779Craft CMS 5.0.0-RC1 before 5.10.6 Arbitrary File Read via SplFileObject | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngcms | Ngày phát hành11/08/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-72778Craft CMS 5.0.0-RC1 before 5.10.6 Authenticated RCE via condition.config | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngcms | Ngày phát hành11/08/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-50282Craft CMS: Unauthorized Deletion of Destination Folders During Forced Moves | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngcms | Ngày phát hành02/07/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-50281Craft CMS: Mass assignment via id in newAttributes during bulk duplicate overwrites existing elements | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngcms | Ngày phát hành02/07/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-55794Craft CMS: Potential authenticated Remote Code Execution via referrer redirect | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngcms | Ngày phát hành01/07/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-55793Craft CMS: Stored XSS via Structure entry title in table view | Tình trạng khai thácĐang bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngcms | Ngày phát hành01/07/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-55792Craft CMS: Sensitive File Disclosure / Server-Side File Read | Tình trạng khai thácĐang bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngcms | Ngày phát hành01/07/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-55791Craft CMS: Blind SSRF and Arbitrary JavaScript Injection via Host Header Poisoning in actionResourceJs | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngcms | Ngày phát hành01/07/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-55790Craft CMS: DOM XSS via GitHub issue title in CraftSupport widget | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngcms | Ngày phát hành01/07/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-50284Craft CMS: Missing peer-permission check in `AssetsController::actionDeleteFolder` allows deletion of other users' assets | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngcms | Ngày phát hành01/07/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-50283Craft CMS: Unauthorized Deletion of Source Assets During File Replacement | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngcms | Ngày phát hành01/07/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-50280Craft CMS: Authorization bypass in `entries/move-to-section` via missing target-section save check | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngcms | Ngày phát hành01/07/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-50279Craft CMS: Authorship spoofing in `entries/save-entry` via pre-check/post-mutation authorization gap | Tình trạng khai thácĐang bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngcms | Ngày phát hành01/07/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-56394Craft CMS - Authenticated Path Traversal in assets/icon Extension Parameter | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngcms | Ngày phát hành21/06/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-56393Craft CMS - Multiple Stored Cross-Site Scripting in Settings Names and Field Options | Tình trạng khai thácĐang bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngcms | Ngày phát hành21/06/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-56385Craft CMS - Authorization Bypass in assets/preview-file Endpoint | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngcms | Ngày phát hành21/06/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-56384Craft CMS - Missing Authorization in assets/preview-thumb Endpoint | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngcms | Ngày phát hành21/06/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-56383Craft CMS - Stored XSS in Table Field via Row Heading Column Type | Tình trạng khai thácĐang bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngcms | Ngày phát hành21/06/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-56382Craft CMS - Remote Code Execution via Missing Config Sanitization in FieldsController | Tình trạng khai thácĐang bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngcms | Ngày phát hành21/06/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-56381Craft CMS - Stored XSS via User Group Name in User Permissions Page | Tình trạng khai thácĐang bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngcms | Ngày phát hành21/06/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-44012Craft CMS: Missing Volume Permission Check in AssetsController::actionShowInFolder Allows Information Disclosure | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngcms | Ngày phát hành12/05/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-44011Craft CMS: Potential authenticated Remote Code Execution via malicious attached Behavior | Tình trạng khai thácĐang bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngcms | Ngày phát hành12/05/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-44010Craft CMS: Missing Authorization in GraphQL Address Resolver Allows Cross-Scope PII Disclosure | Tình trạng khai thácĐang bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngcms | Ngày phát hành12/05/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-41130Craft CMS has a host header injection leading to SSRF via resource-js endpoint | Tình trạng khai thácĐang bị khai thác | Bản váKhông | Sản phẩm bị ảnh hưởngcms | Ngày phát hành21/04/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-41129Craft CMS has Server-Side Request Forgery (SSRF) with Asset Uploads Mutations | Tình trạng khai thácChưa bị khai thác | Bản váKhông | Sản phẩm bị ảnh hưởngcms | Ngày phát hành21/04/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-41128Craft CMS has a Missing Authorization Check on User Group Removal via save-permissions Action | Tình trạng khai thácChưa bị khai thác | Bản váKhông | Sản phẩm bị ảnh hưởngcms | Ngày phát hành21/04/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-32272Craft Commerce: Blind SQL Injection via hasVariant/hasProduct | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngcommerce | Ngày phát hành13/04/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-32271Craft Commerce: SQL Injection can lead to Remote Code Execution via TotalRevenue Widget | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngcommerce | Ngày phát hành13/04/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-32270Craft Commerce: Unauthenticated information disclosure in `commerce/payments/pay` can leak some customer order data on anonymous payments | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngcommerce | Ngày phát hành13/04/2026 | Mức độ nghiêm trọngThấp |
|---|
CVE-2026-33162Craft CMS: Authorization bypass in "entries/move-to-section" allows control panel user to move entries without section permissions | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngcms | Ngày phát hành24/03/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-33161Craft CMS: Anonymous "assets/image-editor" calls returns private asset editor metadata to unauthorized users | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngcms | Ngày phát hành24/03/2026 | Mức độ nghiêm trọngThấp |
|---|
CVE-2026-33160Craft CMS: Anonymous "generate transform" calls for assets can expose private assets via transform URL | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngcms | Ngày phát hành24/03/2026 | Mức độ nghiêm trọngThấp |
|---|
CVE-2026-33159Craft CMS: Unauthenticated users could execute project configuration sync operations that should be restricted trusted users | Tình trạng khai thácĐang bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngcms | Ngày phát hành24/03/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-33158Craft CMS: Low-privilege users could read private asset contents when editing an asset (IDOR) | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngcms | Ngày phát hành24/03/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-33157Craft CMS: Potential authenticated Remote Code Execution via malicious attached Behavior | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngcms | Ngày phát hành24/03/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-33051Craft CMS Vulnerable to Stored XSS in Revision Context Menu | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngcms | Ngày phát hành20/03/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-32268Azure Blob Storage for Craft CMS Potential Sensitive Information Disclosure vulnerability | Tình trạng khai thácChưa bị khai thác | Bản váKhông | Sản phẩm bị ảnh hưởngazure-blob | Ngày phát hành18/03/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-32266Google Cloud Storage for Craft CMS has an Information Disclosure Vulnerability | Tình trạng khai thácChưa bị khai thác | Bản váKhông | Sản phẩm bị ảnh hưởnggoogle-cloud | Ngày phát hành18/03/2026 | Mức độ nghiêm trọngThấp |
|---|
174 Kết quả | Trang 2 trên 4