Veille sécuritéBackend & données
P3Critique
Craft CMS 5.0.0 à 5.11.1 présente un contrôle d’autorisation insuffisant sur les champs GraphQL `prev` et `next`, qui peut permettre à un client anonyme de consulter des entrées appartenant à des sections hors périmètre. Mettre à niveau vers Craft CMS 5.11.2 ou une version ultérieure; en attendant, restreindre ou désactiver l’accès GraphQL anonyme.
Craft CMSGraphQL
IdentifiantCVE-2026-124427
GravitéCritique
Exploitationnon connue / non déterminée
Correctif5.11.2
Source : NVD — CVE-2026-124427
Analyse technique
Les champs de navigation `prev`/`next` peuvent exposer des titres, slugs et champs personnalisés d’entrées hors périmètre.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-08 à 14:18:08.517 UTC (16:18:08.517 +02:00), dans la période demandée. La copie également présente dans les candidats « mises à jour » ne constitue pas un événement distinct.
ImpactDivulgation non autorisée d’informations d’entrées appartenant à des sections hors périmètre.
Versions affectéesCraft CMS 5.0.0 à 5.11.1
Version corrigée5.11.2
ContournementRestreindre ou désactiver l’accès GraphQL anonyme si la mise à niveau n’est pas possible.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.3
Publication2026-11-08T14:18:08.517+00:00
Mise à jour2026-11-08T14:18:08.517+00:00
Action recommandée
Mettre à niveau Craft CMS vers 5.11.2 ou ultérieur; restreindre l’accès GraphQL anonyme jusqu’à la mise à niveau.
Sources
Priorisation DFS : P3 · 1 source(s).