Veille sécuritéBackend & données
P4Moyenne
Du contenu Twig fourni par un auteur de page peut exposer les identifiants HTTP Basic des visiteurs dans Grav. Les versions de 2.0.0 à celles antérieures à 2.2.5 sont indiquées comme affectées.
PHP
IdentifiantCVE-2026-114657
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif2.2.5
Source : NVD — CVE-2026-114657
Analyse technique
Le contenu Twig peut accéder à l’objet Uri de la requête, qui contient PHP_AUTH_USER et PHP_AUTH_PW, et faire transmettre ces informations à un hôte externe.
Impact, versions et correctif
Événement datéRetenu comme nouvelle vulnérabilité : la fiche indique une publication le 2026-10-22 à 02:16:57.553Z, soit le 2026-10-22 à 04:16:57.553+02:00, dans la période demandée.
ImpactLes identifiants HTTP Basic des visiteurs, notamment ceux d’administrateurs, peuvent être divulgués à un hôte externe.
Versions affectéesÀ partir de 2.0.0 et avant 2.2.5
Version corrigée2.2.5
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.9
EPSS0,22% · percentile 11,6%
Publication2026-10-22T04:16:57.553+02:00
Mise à jour2026-10-22T04:16:57.677+02:00
Action recommandée
Mettre à niveau Grav vers la version 2.2.5 ou une version ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).