CVE-2021-27903

El titular aquí es "Remote Code Execution", pero conviene leer la descripción dos veces: solo se activa en sitios que dejaron sin restringir los cambios administrativos, y únicamente si un atacante ya secuestró la sesión de un administrador. En otras palabras, se trata de una escalada posterior al compromiso que convierte un punto de apoyo administrativo existente en ejecución de código en el servidor, no de una vía de entrada desde el exterior. El daño, si se materializa, es real, pero el boleto de entrada ya son las llaves del reino.

Esa condición importa muchísimo para cómo lo clasificamos. Craft CMS incluye un valor predeterminado de producción reforzado que deshabilita los cambios administrativos precisamente para cerrar esto, de modo que un sitio bien configurado no está expuesto en absoluto. La vía realista de abuso es secuestro de sesión más una configuración laxa más un administrador que efectivamente sea el objetivo, lo cual es una cadena de precondiciones, no un escenario de explotación masiva. Nadie está rastreando internet en busca de esto como lo haría con un fallo no autenticado, a pesar de la etiqueta de 9.8.

Nuestro enfoque es tratar la puntuación CVSS como engañosa y clasificar según el estado de la configuración en su lugar. La pregunta que hacemos no es "qué instalaciones de Craft existen", sino "cuáles funcionan con allowAdminChanges habilitado en producción y por debajo de 3.6.7"; esa intersección es el pequeño conjunto que realmente importa. Para todo lo que esté en el valor predeterminado reforzado, esto cae bastante abajo en la cola, por detrás de fallos que no requieren que un atacante ya sea dueño de una sesión de administrador.