# Onveilige deserialisatie in statamic/importer

- **Referentie**: HI-SA-2026-003
- **Soort**: Kwetsbaarheid
- **Ernst**: Hoog
- **Platform**: Packagist
- **Package**: statamic/importer
- **Getroffen versies**: <2.3.4
- **Opgelost in**: 2.3.4
- **CWE**: CWE-502: Onveilige deserialisatie
- **CVSS 4.0**: 9.4 (CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H)
- **CVSS 3.1**: 8.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H)
- **Onderzocht door**: [Joshua van der Poll](https://hackindex.nl/author/joshua-van-der-poll)

statamic/importer tot en met 2.3.3 zette bepaalde waarden uit een importbestand zonder beperking om naar PHP-objecten. Een aanvaller die invloed heeft op een bestand dat je importeert, zoals een export van een andere site of een externe feed, kon daarmee code laten uitvoeren op je server. Daar is geen account op je site voor nodig, alleen een import van dat bestand door een beheerder. Statamic loste het op in 2.3.4, publiceerde een advisory en vroeg een CVE aan.

## Wie het raakt

- Statamic-sites met statamic/importer tot en met 2.3.3
- Sites die bestanden importeren uit bronnen die je niet zelf beheert, zoals een WordPress-export, CSV of externe feed
- Imports waarbij een kolom naar een lijst- of entries-veld gaat

## Oplossen

Werk bij naar 2.3.4. Daarin zet de importer geen objecten meer om uit importwaarden. Importeer tot die tijd alleen bestanden uit bronnen die je vertrouwt. Heb je eerder bestanden van derden geïmporteerd met een versie tot en met 2.3.3, controleer dan of er onverwachte bestanden of processen op de server staan.

```
composer update statamic/importer
```

## Tijdlijn

- 2026-11-07: Kwetsbaarheid gevonden in de gepubliceerde code van 1.x en 2.3.3
- 2026-11-07: Impact bevestigd in een testomgeving
- 2026-11-07: Privé gemeld bij Statamic via GitHub
- 2026-11-12: Opgelost in 2.3.4, advisory GHSA-x79m-fxfp-83hx gepubliceerd, CVE aangevraagd

## Referenties

- [GitHub Security Advisory GHSA-x79m-fxfp-83hx](https://github.com/statamic/importer/security/advisories/GHSA-x79m-fxfp-83hx)
- [Repository op GitHub](https://github.com/statamic/importer)

## Over deze melding

HackIndex doet pentests en code review, en onderzoekt open-source packages, plugins en extensies. Een kwetsbaarheid gaat eerst naar de maker, malware direct naar het platform dat hem verspreidt.

Vragen over deze melding of een correctie? Mail naar het adres in security.txt, met HI-SA-2026-003 in het onderwerp.

Je mag deze melding overnemen onder [CC BY 4.0](https://creativecommons.org/licenses/by/4.0/), met de referentie en deze URL als bron.

- [Waarom HackIndex onderzoek doet](https://hackindex.nl/research)
- [Termijnen en afspraken](https://hackindex.nl/security)
- [security.txt](https://hackindex.nl/.well-known/security.txt)

Bron: https://hackindex.nl/research/hi-sa-2026-003