CVE-2024-56145

RCE when PHP `register_argc_argv` config setting is enabled in craftcms/cms

Эксплуатируется в атаках Критическая 9,3 Вероятность атаки: 97%

Что это

Craft is a flexible, user-friendly CMS for creating custom digital experiences on the web and beyond. Users of affected versions are affected by this vulnerability if their php.ini configuration has `register_argc_argv` enabled. For these users an unspecified remote code execution vector is present. Users are advised to update to version 3.9.14, 4.13.2, or 5.5.2. Users unable to upgrade should disable `register_argc_argv` to mitigate the issue.

CISA: Craft CMS contains a code injection vulnerability. Users with affected versions are vulnerable to remote code execution if their php.ini configuration has `register_argc_argv` enabled.

Что делать

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Срок для федеральных ведомств США: 23 июня 2025 г.

Добавлена в список CISA: 2 июня 2025 г.
Опубликована: 18 декабря 2024 г.
Серьёзность: Критическая 9,3 CVSS 4.0
Вероятность атак в ближайшие 30 дней (EPSS): 97% в верхних 0,1% всех известных уязвимостей
Тип слабости: CWE-94
Подробнее: NVD · CVE.org · CISA

Все ссылки (2)

Другие эксплуатируемые уязвимости Craft CMS

Добавлено	Уязвимость	Продукт	Серьёзность	Вероятность атаки
20 мар. 2026 г.	Code InjectionCVE-2025-32432	Craft CMS	Критическая 10,0	99,8%
2 июн. 2025 г.	External Control of Assumed-Immutable Web ParameterCVE-2025-35939	Craft CMS	Средняя 6,9	1,3%
20 февр. 2025 г.	Code InjectionCVE-2025-23209	Craft CMS	Высокий 8,1	22%

Все →

Источники: Known Exploited Vulnerabilities (CISA, общественное достояние), CVE records (cve.org) и EPSS (FIRST). Вероятность атаки — оценка EPSS того, что кто-то попытается использовать уязвимость в ближайшие 30 дней.