Le module YML for Yandex Market expose, jusqu’à la version 5.10.0 incluse, la clé API Yandex Market en clair dans un journal accessible publiquement, sous certaines conditions de configuration. Désactivez la conservation des journaux concernés et mettez à jour le module dès qu’un correctif est disponible; vérifiez et renouvelez la clé si elle a pu être exposée.
Source : NVD — CVE-2026-120548
Analyse technique
L’exposition via le paramètre y4ym_check_action requiert une clé Yandex Market enregistrée et l’option y4ym_keeplogs activée. La clé peut permettre de contrôler le catalogue, les prix et les stocks sur la place de marché.
Impact, versions et correctif
Action recommandée
Désactiver la conservation des journaux concernés et mettre à jour le module dès qu’un correctif est disponible; renouveler la clé API si elle a pu être exposée.
Sources
Priorisation DFS : P4 · 1 source(s).