CVE-2025-23209

Potential RCE with a compromised security key in craft/cms

Explotada en ataques Alto 8,1 Probabilidad de ataque: 22%

Qué es

Craft is a flexible, user-friendly CMS for creating custom digital experiences on the web and beyond. This is an remote code execution (RCE) vulnerability that affects Craft 4 and 5 installs where your security key has already been compromised. Anyone running an unpatched version of Craft with a compromised security key is affected. This vulnerability has been patched in Craft 5.5.8 and 4.13.8. Users who cannot update to a patched version, should rotate their security keys and ensure their privacy to help migitgate the issue.

CISA: Craft CMS contains a code injection vulnerability caused by improper validation of the database backup path, ultimately enabling remote code execution.

Qué hacer

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

Plazo para las agencias federales de EE. UU.: 13 de marzo de 2025

Añadida a la lista de CISA: 20 de febrero de 2025
Publicada: 18 de enero de 2025
Gravedad: Alto 8,1 CVSS 3.1
Probabilidad de ataques en los próximos 30 días (EPSS): 22% entre el 2,4% superior de todas las vulnerabilidades conocidas
Debilidad: CWE-94
Más detalles: NVD · CVE.org · CISA

Todas las referencias (3)

Más fallos explotados de Craft CMS

Añadido	Vulnerabilidad	Producto	Gravedad	Prob. de ataque
20 mar 2026	Code InjectionCVE-2025-32432	Craft CMS	Crítica 10,0	99,8%
2 jun 2025	Code InjectionCVE-2024-56145	Craft CMS	Crítica 9,3	97%
2 jun 2025	External Control of Assumed-Immutable Web ParameterCVE-2025-35939	Craft CMS	Media 6,9	1,3%

Todas →

Fuentes: Known Exploited Vulnerabilities (CISA, dominio público), CVE records (cve.org) y EPSS (FIRST). La probabilidad de ataque es la estimación EPSS de que alguien intente explotar el fallo en los próximos 30 días.