Téléversement arbitraire de fichiers dans SimpleForm

Veille sécuritéCMS & e-commerce

P3Critique

SimpleForm est vulnérable à l’envoi de fichiers arbitraires dans toutes les versions jusqu’à 3.10.2 incluse. Un attaquant non authentifié peut téléverser des fichiers potentiellement exécutables, avec un risque d’exécution de code ; aucun correctif n’est indiqué dans la source fournie.

IdentifiantCVE-2026-118235

GravitéCritique

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-118235

Analyse technique

L’absence de liste d’autorisation côté serveur et la dérivation de l’extension avant assainissement permettent de contourner les contrôles de type et d’extension. Le nonce requis est affiché dans les formulaires publics selon la description fournie.

Impact, versions et correctif

Événement datéFiche NVD publiée le 31 octobre 2026 à 09:16:33Z, soit dans la période demandée ; la mise à jour du 2 novembre est hors période et n’est pas retenue.

ImpactTéléversement de fichiers potentiellement exécutables, avec possibilité d’exécution de code à distance.

Versions affectéesToutes les versions jusqu’à 3.10.2 incluse

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS9.8

EPSS0,74% · percentile 54,6%

Publication2026-10-31T11:16:33.620+02:00

Action recommandée

Appliquer une version corrigée dès qu’elle est disponible ; la source fournie ne précise pas de correctif. Examiner les fichiers téléversés et restreindre temporairement les formulaires concernés.

Sources

NVD — CVE-2026-118235

Priorisation DFS : P3 · 1 source(s).