Veille sécuritéBackend & données
P3Critique
Une injection SQL non authentifiée dans la fonction de recherche Craft peut permettre de lire ou modifier la base de données et d’obtenir des privilèges administrateur. Le problème concerne les installations utilisant MySQL ou MariaDB ; mettez à jour Craft vers une version corrigée.
MySQL
IdentifiantCVE-2026-115934
GravitéCritique
Exploitationnon connue / non déterminée
Correctif4.18.9 et 5.11.2
Source : NVD — CVE-2026-115934
Analyse technique
Le paramètre attribute est concaténé sans assainissement à la requête SQL ; les préparations PDO émulées permettent l’exécution de requêtes empilées. La fiche indique une exploitation possible pour lire et modifier la base et élever un compte au rang d’administrateur.
Impact, versions et correctif
Événement datéLa publication NVD est horodatée le 2026-11-09T23:17:12.470Z, dans la période demandée (+02:00). La fiche a aussi été mise à jour pendant cette période, le 2026-11-10T21:46:26.947Z ; l’événement retenu est la vulnérabilité publiée, pas la simple mise à jour de fiche.
ImpactLecture et modification non autorisées de la base de données, avec possibilité d’élévation de privilèges administrateur.
Version corrigée4.18.9 et 5.11.2
ContournementÀ défaut de mise à jour immédiate, bloquer temporairement les requêtes frontales contenant « attribute » ou « [attribute] » dans la chaîne de requête.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.3
EPSS0,48% · percentile 42,0%
Publication2026-11-09T23:17:12.470Z
Mise à jour2026-11-10T21:46:26.947Z
Action recommandée
Mettre à jour Craft vers 4.18.9 ou 5.11.2, selon la branche utilisée.
Sources
Priorisation DFS : P3 · 1 source(s).