HI-SA-2026-003 Hoog Gepubliceerd Kwetsbaarheid
Onveilige deserialisatie in statamic/importer
statamic/importer tot en met 2.3.3 zette bepaalde waarden uit een importbestand zonder beperking om naar PHP-objecten. Een aanvaller die invloed heeft op een bestand dat je importeert, zoals een export van een andere site of een externe feed, kon daarmee code laten uitvoeren op je server. Daar is geen account op je site voor nodig, alleen een import van dat bestand door een beheerder. Statamic loste het op in 2.3.4, publiceerde een advisory en vroeg een CVE aan.
Wie het raakt
- Statamic-sites met statamic/importer tot en met 2.3.3
- Sites die bestanden importeren uit bronnen die je niet zelf beheert, zoals een WordPress-export, CSV of externe feed
- Imports waarbij een kolom naar een lijst- of entries-veld gaat
Oplossen
composer update statamic/importer
Werk bij naar 2.3.4. Daarin zet de importer geen objecten meer om uit importwaarden. Importeer tot die tijd alleen bestanden uit bronnen die je vertrouwt. Heb je eerder bestanden van derden geïmporteerd met een versie tot en met 2.3.3, controleer dan of er onverwachte bestanden of processen op de server staan.
Tijdlijn
- Kwetsbaarheid gevonden in de gepubliceerde code van 1.x en 2.3.3
- Impact bevestigd in een testomgeving 0 dagen
- Privé gemeld bij Statamic via GitHub 0 dagen
- Opgelost in 2.3.4, advisory GHSA-x79m-fxfp-83hx gepubliceerd, CVE aangevraagd 5 dagen
Referenties
Over deze melding
HackIndex doet pentests en code review, en onderzoekt open-source packages, plugins en extensies. Een kwetsbaarheid gaat eerst naar de maker, malware direct naar het platform dat hem verspreidt.
Vragen over deze melding of een correctie? Mail naar info [at] hackindex [dot] nl met HI‑SA‑2026‑003 in het onderwerp.
Je mag deze melding overnemen onder CC BY 4.0 (opent in een nieuw tabblad), met de referentie en deze URL als bron.
Waarom HackIndex onderzoek doet Termijnen en afspraken Over HackIndex
Zelf laten controleren
Dit soort fouten zit vaak in de manier waarop een app een package gebruikt. Een security code review kijkt daar gericht naar.