CVE-2026-123488: SQL injection unauthenticata in Craft CMS

CVE-2026-123488 identifica una vulnerabilità di SQL injection unauthenticata in Craft CMS, un CMS open-source diffuso in ambienti aziendali e istituzionali. La falla risiede nell'endpoint di ricerca elementi (element search): il parametro attribute viene concatenato nella query senza sanitizzazione. I sistemi PDO emulati permettono esecuzione di istruzioni in stack, esponendo la base dati a lettura e scrittura senza requirementi di autenticazione. Gli amministratori di sistemi che espongono Craft CMS Internet-facing devono considerare questa vulnerabilità come una priorità assoluta di patch.

La vulnerabilità riceve un punteggio CVSS di 9,8 (critica), confermato nei dati NVD. Patch rilasciate: versione 4.18.9 per il ramo 4.x, versione 5.11.2 per il ramo 5.0+. La falla è stata resa pubblica contemporaneamente alla notifica NVD (6 novembre 2026). Su X circolano già 4 post nelle ultime 24 ore con circa 9 interazioni totali, indicando visibilità elevata nel perimetro della sicurezza IT. La natura unauthenticata della vulnerabilità amplifica il rischio: nessun account è necessario per tentare lo sfruttamento da Internet.

Azione immediata: installare Craft CMS 4.18.9 (branch 4.x) o 5.11.2 (branch 5.0+) non appena disponibile, prioritizzando i sistemi esposti. Per sistemi non ancora aggiornabili, implementare controlli di accesso di rete (firewall, WAF) al parametro attribute dell'endpoint di ricerca elementi, idealmente limitando accesso a IP trusted noti. Monitorare i log di accesso al motore di ricerca per parametri attribute non sanitari. Verificare i log del database per modifiche ai dati di utenti e permission flag: un amministratore compromesso potrebbe avere scritto password hash alterati.

Per verificare se l'ambiente è esposto, controllate quali versioni di Craft CMS sono in produzione. Le versioni precedenti a 4.18.9 (branch 4.x) e precedenti a 5.11.2 (branch 5.0+) sono vulnerabili. Se il CMS è accessibile da Internet e non è patchato, è vulnerabile agli attacchi di SQL injection non autenticati su questo endpoint specifico.