CVE-2024-56145criticalbajo ataqueCWE-94

CVE-2024-56145: fallo crítico en craftcms cms

RCE when PHP `register_argc_argv` config setting is enabled in craftcms/cms

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear cms+ Monitorear Craft CMS

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 9.3epss 97%
de la publicación al arma2 días
Publicada en NVD18 dic
1ª PoC+2d
metasploit+1d
CISA KEV+166d
Acción exigida por CISAplazo federal: 2025-06-23

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

En resumen

Craft CMS permite que atacantes ejecuten código malicioso en servidores donde está habilitada una configuración específica de PHP (`register_argc_argv`). Es una vulnerabilidad crítica que puede dar control total de la aplicación a los invasores.

Detalle técnico

Existe una vulnerabilidad de ejecución remota de código en Craft CMS cuando la directiva de configuración `register_argc_argv` de PHP está habilitada, permitiendo que atacantes no autenticados ejecuten código arbitrario a través de un vector no especificado. La vulnerabilidad explota la población automática de las variables globales `$argc` y `$argv` de PHP, que pueden ser manipuladas para inyectar cargas maliciosas. Versiones afectadas: 3.x < 3.9.14, 4.x < 4.13.2, 5.x < 5.5.2.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Craft is a flexible, user-friendly CMS for creating custom digital experiences on the web and beyond. Users of affected versions are affected by this vulnerability if their php.ini configuration has `register_argc_argv` enabled. For these users an unspecified remote code execution vector is present. Users are advised to update to version 3.9.14, 4.13.2, or 5.5.2. Users unable to upgrade should disable `register_argc_argv` to mitigate the issue.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Productos afectados
craftcms · cms
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — craftcms cms

En el mismo producto, de las más peligrosas a las menos.

CVE-2025-32432CRITICALCraft CMS Allows Remote Code ExecutionEPSS 99.8%KEVCVE-2025-23209HIGHPotential RCE with a compromised security key in craft/cmsEPSS 21.6%KEVCVE-2023-41892CRITICALCraft CMS Remote Code Execution vulnerabilityEPSS 94.2%CVE-2026-32267HIGHCraft CMS Vulnerable to Privilege Escalation/Bypass through UsersController->actionImpersonateWithToken()EPSS 9.7%CVE-2023-40035HIGHCraft CMS vulnerable to Remote Code Execution via validatePath bypassEPSS 2.3%CVE-2026-123488CRITICALCraft CMS 4.0.0 before 4.18.9 SQL Injection via Element Search EndpointEPSS 1.9%