Zaloguj się
Deutsch English Español Polski
Wysoka

Statamic: Unsafe method invocation via query value resolution allows data destruction

  • Ujawniono: 16.04.2026
  • Aktualizacja: 11.10.2026 10:22

Impact

Manipulating query parameters on Control Panel and REST API endpoints, or arguments in GraphQL queries, could result in the loss of content, assets, and user accounts.

The Control Panel requires authentication with minimal permissions in order to exploit. e.g. "view entries" permission to delete entries, or "view users" permission to delete users, etc.

The REST and GraphQL API exploits do not require any permissions, however neither are enabled by default. In order to be exploited, they would need to be explicitly enabled with no authentication configured, and the specific resources enabled too.

Sites that enable the REST or GraphQL API without authentication should treat patching as critical priority.

Patches

This has been fixed in 5.73.20 and 6.13.0.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer statamic/cms < 5.73.20, >= 6.0.0-alpha.1, < 6.13.0 5.73.20, 6.13.0

Odnośniki

Ocena CVSS 8.1/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H
Słabość (CWE)
CWE-470
Platforma
Composer
Paczka
statamic/cms
Ujawniono
16.04.2026
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-4jjr-vmv7-wh4w - CC BY 4.0

Historia podatności: statamic/cms

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (44) w archiwum
Wszystkich wpisów
44
Pierwsza → ostatnia
03.2022 08.2026
Bez poprawki
1
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 1
  • Wysoka 15
  • Średnia 25
  • Niska 3

Ujawnienia w latach

Istotność:
  1. Statamic: Account takeover via OAuth email matching without email-verification check
    Wysoka · 8.1 CVE-2026-64665 < 5.74.1, >= 6.0.0, < 6.24.0 5.74.1, 6.24.0
  2. Statamic CMS's unsafe method invocation via collection sorting allows data destruction
    Wysoka · 7.4 CVE-2026-49287 < 5.73.23, >= 6.0.0, < 6.20.0 5.73.23, 6.20.0
  3. Statamic: Unsafe method invocation via query value resolution allows data destruction ten wpis
    Wysoka · 8.1 CVE-2026-41175 < 5.73.20, >= 6.0.0-alpha.1, < 6.13.0 5.73.20, 6.13.0
  4. Statamic has Stored XSS via SVG Sanitization Bypass
    Wysoka · 8.7 CVE-2026-33172 >= 6.0.0-alpha.1, < 6.7.0, < 5.73.14 6.7.0, 5.73.14
  5. Statamic vulnerable to privilege escalation via stored cross-site scripting
    Wysoka · 8.7 CVE-2026-28426 < 5.73.11, >= 6.0.0-alpha.1, < 6.4.0 5.73.11, 6.4.0
  6. Statamic vulnerable to remote code execution via Antlers-enabled control panel inputs
    Wysoka · 8.0 CVE-2026-28425 < 5.73.16, >= 6.0.0-alpha.1, < 6.7.2 5.73.16, 6.7.2
  7. Statamic allows Authenticated Control Panel users to escalate privileges via elevated session bypass
    Wysoka · 8.8 CVE-2026-27939 >= 6.0.0, < 6.4.0 6.4.0
  8. Statamic is vulnerable to account takeover via password reset link injection
    Krytyczna · 9.3 CVE-2026-27593 < 5.73.10, >= 6.0.0-alpha.1, < 6.7.1 5.73.10, 6.7.1
  9. Statamic affected by privilege escalation via stored cross-site scripting
    Wysoka · 8.1 CVE-2026-27196 >= 6.0.0-alpha.1, < 6.3.2, < 5.73.9 6.3.2, 5.73.9
  10. Statamic CMS vulnerable to privilege escalation via stored cross-site scripting
    Wysoka · 8.7 CVE-2026-25759 >= 6.0.0, < 6.2.3 6.2.3
  11. Statamic Vulnerable to Superadmin Account Takeover via Stored Cross-Site Scripting and Lack of Proper X-CSRF-TOKEN Server-Side Validation
    Wysoka · 8.0 CVE-2025-64112 < 5.22.1 5.22.1
  12. Statmic CMS vulnerable to account takeover via XSS and password reset link
    Wysoka · 8.2 CVE-2024-24570 >= 4.00, < 4.46.0, < 3.4.17 4.46.0, 3.4.17
  13. Cross-site Scripting via uploaded assets
    Wysoka · 7.5 CVE-2023-48701 < 3.4.15, >= 4.0.0, < 4.36.0 3.4.15, 4.36.0
  14. Statamic CMS vulnerable to remote code execution via form uploads
    Wysoka · 8.8 CVE-2023-48217 >= 4.0.0, < 4.34.0, < 3.4.14 4.34.0, 3.4.14
  15. Statamic CMS remote code execution via front-end form uploads
    Wysoka · 8.3 CVE-2023-47129 >= 4.0.0, < 4.33.0, < 3.4.13 4.33.0, 3.4.13
  16. Statamic framework Incorrect Permission Assignment
    Wysoka · 8.8 CVE-2017-11422 < 2.6.0 2.6.0

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.