CVE-2025-32432criticalbajo ataqueCWE-94

CVE-2025-32432: fallo crítico en craftcms cms

Craft CMS Allows Remote Code Execution

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear cms+ Monitorear Craft CMS

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 10epss 100%
de la publicación al arma1 día
Publicada en NVD25 abr
1ª PoC+1d
metasploit14 abr
CISA KEV+329d
Acción exigida por CISAplazo federal: 2026-04-03

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

En resumen

Craft CMS contiene una falla crítica que permite a atacantes ejecutar código arbitrario de forma remota en servidores afectados. Esta vulnerabilidad afecta múltiples versiones y requiere parches inmediatos para prevenir el compromiso total del sistema.

Detalle técnico

Craft CMS en versiones 3.0.0-RC1 hasta 3.9.14, 4.0.0-RC1 hasta 4.14.14 y 5.0.0-RC1 hasta 5.6.16 es vulnerable a ejecución remota de código no autenticada a través de CWE-94 (control inadecuado de generación de código). El ataque presenta baja complejidad y no requiere privilegios especiales, permitiendo el compromiso total de la aplicación y servidor.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Craft is a flexible, user-friendly CMS for creating custom digital experiences on the web and beyond. Starting from version 3.0.0-RC1 to before 3.9.15, 4.0.0-RC1 to before 4.14.15, and 5.0.0-RC1 to before 5.6.17, Craft is vulnerable to remote code execution. This is a high-impact, low-complexity attack vector. This issue has been patched in versions 3.9.15, 4.14.15, and 5.6.17, and is an additional fix for CVE-2023-41892.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:L
Productos afectados
craftcms · cms
PoCs públicas encontradas — 37
exploitdbwww.exploit-db.com/exploits/52525no verificadogithubgithub.com/Sachinart/CVE-2025-32432★ 27githubgithub.com/Chocapikk/CVE-2025-32432★ 10githubgithub.com/P34NUT2/CVE-2025-32432-exploit-by-P34NUT★ 8githubgithub.com/CTY-Research-1/CVE-2025-32432-PoC★ 8githubgithub.com/c0gnit00/CVE-2025-32432★ 6githubgithub.com/cd-ratel/CVE-2025-32432★ 2githubgithub.com/bambooqj/CVE-2025-32432★ 2githubgithub.com/PsyGuy007-sys/craftcms-cve-2025-32432-rce★ 1githubgithub.com/Cosm3No1de/htb-orion-writeup★ 0githubgithub.com/HeltonPojo/CVE-2025-32432★ 0githubgithub.com/EzraMansor/CVE-2025-32432-PoC★ 0githubgithub.com/theeomega/CVE-2025-32432-POC★ 0githubgithub.com/l0lsuit/CVE-2025-32432-craftcms-rce★ 0githubgithub.com/e5dfdd568a75282b712b6d93a7a18e12/CVE-2025-32432★ 0githubgithub.com/TheMursalin/CVE-2025-32432★ 0githubgithub.com/Si13NTTT/CVE-2025-32432★ 0githubgithub.com/n40y/PoC_CVE-2025-32432★ 0vulncheckvulncheck.com/xdb/c6ea5169f9ecno verificadovulncheckvulncheck.com/xdb/20a318144b85no verificadovulncheckvulncheck.com/xdb/298d32565f13no verificadovulncheckvulncheck.com/xdb/71e0e5da22dano verificadovulncheckvulncheck.com/xdb/c4ef7063f832no verificadocve_referencesensepost.com/blog/2025/investigating-an-in-the-wild-campaign-using-rce-in-craftcms/no verificadovulncheckvulncheck.com/xdb/d95926da364bno verificadovulncheckvulncheck.com/xdb/44a1c7835732no verificadovulncheckvulncheck.com/xdb/475a01011f66no verificadovulncheckvulncheck.com/xdb/8a66cba328d4no verificadovulncheckvulncheck.com/xdb/594630302d82no verificadovulncheckvulncheck.com/xdb/607359dbad90no verificadovulncheckvulncheck.com/xdb/fd579a16deaeno verificadovulncheckvulncheck.com/xdb/70ecf19db567no verificadovulncheckvulncheck.com/xdb/e32d0c6e52f9no verificadovulncheckvulncheck.com/xdb/3273899fa3b6no verificadovulncheckvulncheck.com/xdb/d7daf9fe47f5no verificadovulncheckvulncheck.com/xdb/912fcaaa7164no verificadovulncheckvulncheck.com/xdb/8caef7d85a0bno verificado
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — craftcms cms

En el mismo producto, de las más peligrosas a las menos.

CVE-2024-56145CRITICALRCE when PHP `register_argc_argv` config setting is enabled in craftcms/cmsEPSS 97.5%KEVCVE-2025-23209HIGHPotential RCE with a compromised security key in craft/cmsEPSS 21.6%KEVCVE-2023-41892CRITICALCraft CMS Remote Code Execution vulnerabilityEPSS 94.2%CVE-2026-32267HIGHCraft CMS Vulnerable to Privilege Escalation/Bypass through UsersController->actionImpersonateWithToken()EPSS 9.6%CVE-2023-40035HIGHCraft CMS vulnerable to Remote Code Execution via validatePath bypassEPSS 2.3%CVE-2023-32679HIGHRemote Code Execution via unrestricted file extension in Craft CMSEPSS 1.8%