Exécution de code possible via le paramètre updates dans Craft CMS

Veille sécuritéCMS & e-commerce

P3Élevée

Craft CMS transmet sans nettoyage le paramètre de requête `updates` à `UpdatesModel`, ce qui peut permettre l’injection de comportements ou de gestionnaires d’événements et l’exécution de code arbitraire. L’exploitation nécessite un utilisateur authentifié du panneau de contrôle disposant de la permission `performUpdates` ou d’un accès à l’utilitaire Updates.

IdentifiantCVE-2026-109308

GravitéÉlevée

Exploitationnon connue / non déterminée

CorrectifCraft CMS 4.18.7; 5.10.14

Source : CVE-2026-109308 — NVD

Analyse technique

Dans `AppController::actionCacheUpdates`, le paramètre brut `updates` est transmis à `UpdatesModel` sans passer par `Component::cleanseConfig()`. Des clés `as` ou `on` peuvent servir à injecter des comportements ou des gestionnaires d’événements.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication et une mise à jour le 2026-10-12T17:17:25.227Z, dans la période retenue; l’élément décrit une vulnérabilité et ses versions corrigées, pas une simple modification administrative.

ImpactUn utilisateur authentifié disposant des droits requis peut potentiellement exécuter du code arbitraire.

Versions affectéesCraft CMS 4.0.0 à 4.18.6; 5.0.0 à 5.10.13

Version corrigéeCraft CMS 4.18.7; 5.10.14

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS8.7

Publication2026-10-12T17:17:25.227Z

Mise à jour2026-10-12T17:17:25.227Z

Action recommandée

Mettre à jour Craft CMS vers la version 4.18.7 ou 5.10.14, selon la branche utilisée.

Sources

CVE-2026-109308 — NVD

Priorisation DFS : P3 · 1 source(s).