CVE-2024-56145

RCE when PHP `register_argc_argv` config setting is enabled in craftcms/cms

공격에 악용됨 치명적 9.3 공격 가능성: 97%

무엇인가

Craft is a flexible, user-friendly CMS for creating custom digital experiences on the web and beyond. Users of affected versions are affected by this vulnerability if their php.ini configuration has `register_argc_argv` enabled. For these users an unspecified remote code execution vector is present. Users are advised to update to version 3.9.14, 4.13.2, or 5.5.2. Users unable to upgrade should disable `register_argc_argv` to mitigate the issue.

CISA: Craft CMS contains a code injection vulnerability. Users with affected versions are vulnerable to remote code execution if their php.ini configuration has `register_argc_argv` enabled.

할 일

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

미국 연방 기관 조치 기한: 2025년 6월 23일

CISA 목록에 추가됨: 2025년 6월 2일
게시됨: 2024년 12월 18일
심각도: 치명적 9.3 CVSS 4.0
향후 30일 내 공격 가능성(EPSS): 97% 알려진 모든 취약점 중 상위 0.1%
약점 유형: CWE-94
자세히: NVD · CVE.org · CISA

모든 참고 자료(2)

Craft CMS의 다른 악용된 결함

추가됨	취약점	제품	심각도	공격 가능성
2026. 3. 20.	Code InjectionCVE-2025-32432	Craft CMS	치명적 10.0	99.8%
2025. 6. 2.	External Control of Assumed-Immutable Web ParameterCVE-2025-35939	Craft CMS	보통 6.9	1.3%
2025. 2. 20.	Code InjectionCVE-2025-23209	Craft CMS	높음 8.1	22%

모두 →

출처: Known Exploited Vulnerabilities(CISA, 퍼블릭 도메인), CVE records(cve.org), EPSS(FIRST). 공격 가능성은 누군가 향후 30일 안에 이 결함을 악용하려 할 확률에 대한 EPSS 추정치입니다.