CVE-2024-56145

RCE when PHP `register_argc_argv` config setting is enabled in craftcms/cms

Αξιοποιήθηκε σε επιθέσεις Κρίσιμη 9,3 Πιθανότητα επίθεσης: 97%

Κοινοποίηση

Τι είναι

Craft is a flexible, user-friendly CMS for creating custom digital experiences on the web and beyond. Users of affected versions are affected by this vulnerability if their php.ini configuration has `register_argc_argv` enabled. For these users an unspecified remote code execution vector is present. Users are advised to update to version 3.9.14, 4.13.2, or 5.5.2. Users unable to upgrade should disable `register_argc_argv` to mitigate the issue.

CISA: Craft CMS contains a code injection vulnerability. Users with affected versions are vulnerable to remote code execution if their php.ini configuration has `register_argc_argv` enabled.

Τι να κάνετε

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Προθεσμία για τις ομοσπονδιακές υπηρεσίες των ΗΠΑ: 23 Ιουνίου 2025

Προστέθηκε στη λίστα της CISA: 2 Ιουνίου 2025
Δημοσιεύθηκε: 18 Δεκεμβρίου 2024
Σοβαρότητα: Κρίσιμη 9,3 CVSS 4.0
Πιθανότητα επιθέσεων τις επόμενες 30 ημέρες (EPSS): 97% στο κορυφαίο 0,1% όλων των γνωστών ευπαθειών
Τύπος αδυναμίας: CWE-94
Περισσότερες λεπτομέρειες: NVD · CVE.org · CISA

Όλες οι πηγές (2)

Περισσότερα κενά ασφαλείας της Craft CMS που αξιοποιούνται

Προστέθηκε	Ευπάθεια	Προϊόν	Σοβαρότητα	Πιθανότητα επίθεσης
20 Μαρ 2026	Code InjectionCVE-2025-32432	Craft CMS	Κρίσιμη 10,0	99,8%
2 Ιουν 2025	External Control of Assumed-Immutable Web ParameterCVE-2025-35939	Craft CMS	Μέτρια 6,9	1,3%
20 Φεβ 2025	Code InjectionCVE-2025-23209	Craft CMS	Υψηλή 8,1	22%

Όλοι →

Πηγές: Known Exploited Vulnerabilities (CISA, δημόσιος τομέας), CVE records (cve.org) και EPSS (FIRST). Η πιθανότητα επίθεσης είναι η εκτίμηση EPSS ότι κάποιος θα προσπαθήσει να εκμεταλλευτεί το κενό τις επόμενες 30 ημέρες.