CVE-2026-107786 : injection SQL dans CatFolders

Veille sécuritéCMS & e-commerce

P4Non déterminée

CatFolders avant la version 2.5.7 ne nettoie ni n’échappe correctement un paramètre de tri contrôlé par l’utilisateur avant de l’insérer dans une requête SQL. Un utilisateur authentifié disposant au moins de la capacité d’envoi de fichiers peut ainsi effectuer une injection SQL ; aucune mesure de contournement n’est précisée.

IdentifiantCVE-2026-107786

GravitéNon déterminée

Exploitationnon connue / non déterminée

Correctif2.5.7

Source : NVD — CVE-2026-107786

Analyse technique

Une valeur de tri contrôlée par l’utilisateur est utilisée dans une requête SQL sans assainissement ni échappement adaptés. Le prérequis mentionné est un compte authentifié ayant la capacité d’envoyer des fichiers, notamment un compte Auteur ou supérieur.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-11-05 à 06:17:07.343Z, soit 08:17:07.343+02:00, dans la période demandée. L’horodatage de mise à jour NVD, à lui seul, n’est pas retenu comme événement ; l’inclusion repose sur la publication indiquée.

ImpactUn utilisateur disposant des capacités requises peut manipuler des requêtes SQL.

Versions affectéesVersions antérieures à 2.5.7

Version corrigée2.5.7

Exploitation activenon connue / non déterminée

PoC publicinconnu

EPSS0,16% · percentile 5,5%

Publication2026-11-05T08:17:07.343+02:00

Mise à jour2026-11-05T17:06:27.350+02:00

Action recommandée

Mettre à jour CatFolders vers la version 2.5.7 ou ultérieure et limiter les comptes disposant de capacités d’envoi de fichiers.

Sources

NVD — CVE-2026-107786

Priorisation DFS : P4 · 1 source(s).