Veille sécuritéCMS & e-commerce
P3Critique
Une injection SQL non authentifiée dans le point d’accès de recherche d’éléments peut permettre la lecture et la modification de la base de données, jusqu’à la prise de contrôle d’un compte administrateur. Les versions concernées sont Craft CMS 4.0.0 à 4.18.8 et 5.0.0 à 5.11.1 ; mettez à niveau vers la version corrigée de votre branche.
Craft CMS
IdentifiantCVE-2026-123488
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifCraft CMS 4.18.9 ou 5.11.2
Source : Fiche NVD CVE-2026-123488
Analyse technique
Le paramètre attribute est incorporé à la requête sans assainissement adéquat ; les préparations PDO émulées permettraient l’exécution d’instructions SQL chaînées.
Impact, versions et correctif
Événement datéLa publication NVD fournie date du 2026-11-06 ; l’avis GHSA correspondant est également signalé comme publié le 2026-11-06. La modification NVD ultérieure n’est pas comptée comme événement distinct.
ImpactLecture et modification de la base de données, avec possibilité d’obtenir des privilèges administrateur.
Versions affectéesCraft CMS 4.0.0 à 4.18.8 et 5.0.0 à 5.11.1
Version corrigéeCraft CMS 4.18.9 ou 5.11.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.3
Publication2026-11-06
Action recommandée
Mettre à niveau vers Craft CMS 4.18.9 ou 5.11.2 selon la branche utilisée.
Sources
Priorisation DFS : P3 · 1 source(s).