Téléversement arbitraire de fichiers dans Live2DWebCanvas

Veille sécuritéCMS & e-commerce

P3Élevée

Live2DWebCanvas jusqu’à la version 2.2.1 incluse permet le téléversement de fichiers arbitraires sans authentification dans une configuration particulière du plugin. Si le mode custom-local est utilisé, un fichier exécutable téléversé peut conduire à une exécution de code à distance; mettre à jour dès qu’un correctif est disponible ou désactiver ce mode et le plugin en attendant.

IdentifiantCVE-2026-92895

GravitéÉlevée

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-92895

Analyse technique

La fonction download_one_file ne valide ni l’extension ni le type MIME des fichiers dérivés d’entrées de manifeste contrôlées par l’attaquant. Le risque d’exécution de code à distance dépend de la configuration custom-local, décrite comme non activée par défaut.

Impact, versions et correctif

Événement datéLa fiche NVD indique une première publication le 2026-11-06, dans la période retenue; il s’agit d’une vulnérabilité nouvellement publiée, et non d’une simple modification administrative.

ImpactDes fichiers arbitraires peuvent être placés dans un répertoire servi par le Web; dans la configuration custom-local, cela peut permettre une exécution de code à distance.

Versions affectéesToutes les versions jusqu’à 2.2.1 incluse

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS8.1

Publication2026-11-06T12:17:24.820Z

Mise à jour2026-11-06T16:19:00.063Z

Action recommandée

Mettre à jour le plugin dès qu’un correctif est disponible; dans l’intervalle, désactiver le mode custom-local ou le plugin.

Sources

NVD — CVE-2026-92895

Priorisation DFS : P3 · 1 source(s).