CVE-2025-23209: Potential RCE with a compromised security key in craft/cms
Noroxi değerlendirmesi
Öncelik: Bu hafta (aksiyon skoru 68/100)
- CISA bu açığın sahada sömürüldüğünü doğruladı (20 Şub 2025). ABD kamu kurumları için kapatma son tarihi 13 Mar 2025.
- Önümüzdeki 30 günde sömürülme olasılığı %21,6 (FIRST EPSS); kayıtların %97,6 kadarından yüksek.
- İnternetten erişebilen herkes tetikleyebilir. Hesap ya da parola gerekmez. Kullanıcının bir şey yapması gerekmez. Zamanlama ya da yapılandırma gibi özel koşullar gerekir.
- Düzeltilmiş sürüm: craftcms/cms (Packagist) 4.13.8, 5.5.8.
Bir sonraki bakım penceresini beklemeyin. craftcms/cms (Packagist) 4.13.8, 5.5.8 ya da daha yeni sürüme yükseltin.
Kaydın verisinden otomatik üretilir: CVSS (NVD ve CNA), CISA KEV ve SSVC, FIRST EPSS, istismar kaynakları, düzeltme sürümleri. Nasıl hesaplıyoruz
Birincil kaynaklar: NVD · CVE.org · CISA KEV · FIRST EPSS
Craft is a flexible, user-friendly CMS for creating custom digital experiences on the web and beyond. This is an remote code execution (RCE) vulnerability that affects Craft 4 and 5 installs where your security key has already been compromised. Anyone running an unpatched version of Craft with a compromised security key is affected. This vulnerability has been patched in Craft 5.5.8 and 4.13.8. Users who cannot update to a patched version, should rotate their security keys and ensure their privacy to help migitgate the issue.
- Yayın
- 17 Oca 2025
- Güncelleme
- 17 Haz 2026
- EPSS
- %21,6 · 97. yüzdelik
- CWE
- CWE-94
Rapor araçları
Aksiyon skoru
68
Bir sonraki bakım penceresini beklemeyin.
- CVSS
- 32 / 40 · 8.1 / 10
- CISA KEV
- 30 / 30 · Listede
- EPSS
- 6 / 30 · %21,6
CISA SSVC kararı
- Sömürü
- aktif
- Otomatikleştirilebilir
- hayır
- Teknik etki
- tam
Vulnrichment: CISA'nın karar ağacı girdileri.
CNA ile NVD puanı
- NVD
- 8,1
- CNA · GitHub_M
- 8,1
- uyumlu
CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:H
Kaydı açan otoritenin puanı ile NVD’nin bağımsız puanı. İki puan arasındaki fark ciddiyetin tartışmalı olduğunu gösterir.
Sahada aktif sömürülüyor
CISA bu zafiyeti 20 Şub 2025 tarihinde fiilen sömürülen zafiyetler kataloğuna (KEV) ekledi. Bu, teoriyi değil, gerçek saldırıları işaret eder.
ABD federal kurumları için son yama tarihi: 13 Mar 2025.
Bu kayıt değişirse haber alın
- CISA KEV'de: sahada sömürüldüğü doğrulandı
- Silahlaştırılmış istismar var
- Düzeltme yayımlandı
Bunlardan biri değişirse günlük e-posta özetinde haber veririz.
Sürümünüz etkileniyor mu? Kontrol edinNoroxi analizi
Sizin ortamınızda ne anlama geliyor?
Yukarıdaki değerlendirme kaydın verisinden otomatik üretilir; ortamınızı bilmez. Bu açığın sizde gerçekten sömürülebilir olup olmadığını ve hangi önlemin yeteceğini ekibimiz sizin sistemlerinizde doğrular.
Bu ürünü kullanıyoruz, yardım isteyinEtkilenen sistemler
Sürümünüz etkileniyor mu?
Ürünü seçip kullandığınız sürümü yazın. Bu kaydın sürüm aralıklarıyla tarayıcınızda karşılaştırılır; sürüm hiçbir yere gönderilmez.
| Üretici | Ürün | CPE |
|---|---|---|
| craftcms | craft cms | cpe:2.3:a:craftcms:craft_cms |
Üreticinin bildirdiği sürümler
Kaydı açan otorite (GitHub_M) tarafından bildirilen etkilenen sürüm aralıkları. NVD'nin CPE analizinden bağımsızdır ve genellikle ondan önce gelir.
craftcms cms
- >= 5.0.0-RC1, < 5.5.5, >= 4.0.0-RC1, < 4.13.8etkilenir
Etkilenen sürümler · NVD (4)
NVD sürüm aralıkları (katalogdaki ürünler için). Stack’inize sürümle eklerseniz eşleşme bunlarla yapılır.
- craftcms craft cms4.0.0 sonrası · 4.13.8 öncesi
- craftcms craft cms5.0.0 sonrası · 5.5.8 öncesi
- craftcms craft cms4.0.0
- craftcms craft cms5.0.0
Paket düzeyi etkilenme
OSV ve GitHub Advisory verisi: ekosistem, paket ve aralık. SBOM eşleşmesi bu tabloyu kullanır.
| Ekosistem | Paket | Etkilenen aralık | Düzeltme |
|---|---|---|---|
| Packagist | craftcms/cms | 4.0.0-RC1 itibarıyla · 4.13.8 öncesi | 4.13.8 |
| Packagist | craftcms/cms | 5.0.0-RC1 itibarıyla · 5.5.8 öncesi | 5.5.8 |
Aynı üründe
craftcms: tüm kayıtlarAynı birincil ürünün en yüksek skorlu diğer kayıtları.
- CVE-2025-32432Craft CMS Allows Remote Code ExecutionKEV100Hemen
- CVE-2024-56145RCE when PHP `register_argc_argv` config setting is enabled in craftcms/cmsKEV96Hemen
- CVE-2023-41892Craft CMS Remote Code Execution vulnerability67Bu hafta
Bu üründe bundan önce ve sonra yayımlananlar
- ← ÖncekiCVE-2024-5229113 Kas 2024 · Craft has a Local File System Validation Bypass Leading to File Overwrite, Sensitive File Access, and Potential Code Execution28İzleyin
- ← ÖncekiCVE-2024-5229213 Kas 2024 · Craft Allows Attackers to Read Arbitrary System Files26İzleyin
- Sonraki →CVE-2025-467315 May 2025 · Craft CMS Contains a Potential Remote Code Execution Vulnerability via Twig SSTI29İzleyin
Düzeltme
Hangi sürüme geçmeli
Üretici, paket deposu ve Microsoft kayıtlarından derlenen düzeltme sürümleri. Yükseltmeden önce üreticinin notunu doğrulayın.
| Ürün / paket | Düzeltilmiş sürüm | Kaynak |
|---|---|---|
| Packagist:craftcms/cms | 4.13.8 | Paket deposu (OSV) |
| Packagist:craftcms/cms | 5.5.8 | Paket deposu (OSV) |
İstismar durumu
Silahlaştırılmış
Bu zafiyet için hazır bir istismar aracı ya da sahada aktif kullanım biliniyor. Önceliğiniz en üst düzeyde olmalı.
Araştırma bağlamı
Pentester ve araştırmacı için: saldırı profili, puan anlaşmazlığı, zaman çizelgesi, yama commit’leri, kredi, varyant ve zincir adayları, bug bounty kapsamı. Hepsi mevcut veriden türetilir; istismar kodu içermez.
Zaman çizelgesi
Yayından bugüne: kavram kanıtı, Metasploit modülü, CISA KEV ve düzeltme kaydı. Tarihler kaynakların bildirdiği tarihlerdir.
- Yayın
- CISA KEV+33 gün
- Bugün14 Kas 2026+665 gün
FIRST EPSS günlük puanı; yalnızca 0,01 ve üstü değişimler kaydedilir (adım grafiği).
Yama ve commit bağlantıları
Referanslardaki commit, PR ve diff adresleri. Patch-diff ve varyant avı için başlangıç noktası; istismar değil, düzeltmedir.
Varyant adayları
Aynı üründe aynı zafiyet sınıfı, 18 ay içinde. Yama kök nedeni kapatmadıysa kardeş hata burada olur.
- CVE-2025-3243298 gün araylaCraft CMS Allows Remote Code ExecutionKEV100Hemen
- CVE-2024-5614530 gün araylaRCE when PHP `register_argc_argv` config setting is enabled in craftcms/cmsKEV96Hemen
- CVE-2023-41892492 gün araylaCraft CMS Remote Code Execution vulnerability67Bu hafta
- CVE-2026-28783411 gün araylaCraft has a Twig Function Blocklist Bypass37İzleyin
- CVE-2026-31857418 gün araylaCraftCMS has an RCE vulnerability via relational conditionals in the control panel32İzleyin
- CVE-2025-54417203 gün araylaCraft contains a theoretical bypass for CVE-2025-2320920İzleyin
Bu kayıtta yok: araştırmacı kredisi · herkese açık ödül programı.
Teknik detay
Saldırı koşulları
- İnternetten erişebilen herkes tetikleyebilir.
- Hesap ya da parola gerekmez.
- Kullanıcının bir şey yapması gerekmez.
- Zamanlama ya da yapılandırma gibi özel koşullar gerekir.
Başarılı olursa
- Gizlilik
- yüksek · veriler okunabilir
- Bütünlük
- yüksek · veri ya da yapılandırma değiştirilebilir
- Erişilebilirlik
- yüksek · hizmet durdurulabilir
- Saldırı vektörü
- Ağ
- Karmaşıklık
- Yüksek
- Gereken yetki
- Yok
- Kullanıcı etkileşimi
- Gerekmez
- Kapsam
- Değişmez
- Gizlilik etkisi
- Yüksek
- Bütünlük etkisi
- Yüksek
- Erişilebilirlik etkisi
- Yüksek
Zayıflık sınıfı (CWE)
CWE-94 · Improper Control of Generation of Code ('Code Injection')CVSS vektörü
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
nvd-primary
Saldırı bağlamı
Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.
Saldırı desenleri (CAPEC)
Değişiklik günlüğü (1)
- Düzeltme✗ → ✓
Takip ettiğiniz kayıtlarda bu değişiklikler bildirim olarak da gelir. →
Referanslar
Tüm referansları göster (3 daha)Daha az göster
Üretici bildirimleri ve resmî kayıtlar. İstismar/PoC bağlantıları bilinçli olarak dışarıda bırakıldı.