Veille sécuritéFrontend
P3Critique
AstroBlocks permettait de forger des jetons de session administrateur à cause d’un secret JWT de secours codé en dur et d’un nom de variable d’environnement incohérent. Un jeton forgé pouvait donner des privilèges de propriétaire et le contrôle du CMS ; la version 3.4.0 corrige le problème.
Astro
IdentifiantCVE-2026-64682
GravitéCritique
Exploitationnon connue / non déterminée
Correctif3.4.0
Source : NVD — CVE-2026-64682
Analyse technique
Le secret de secours était accessible dans le paquet publié ; la divergence entre le nom de variable documenté et celui lu par le logiciel pouvait conduire à son utilisation. Mettre à niveau vers AstroBlocks 3.4.0 ou ultérieur.
Impact, versions et correctif
Événement datéLa publication NVD est datée du 2026-11-11T05:19:52.120Z, dans la période demandée (du 2026-11-11T00:00:00+02:00 inclus au 2026-11-12T00:00:00+02:00 exclu). La mise à jour NVD datée du 2026-11-12T22:18:51.470Z est postérieure à la borne de fin et n’est pas retenue comme événement de cette période.
ImpactUn attaquant pouvait obtenir un accès administrateur au CMS, avec la capacité de modifier ou supprimer contenu, utilisateurs, médias, redirections et configuration.
Versions affectéesastro-blocks < 3.4.0
Version corrigée3.4.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.8 · CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
EPSS0,58% · percentile 48,1%
Publication2026-11-11T05:19:52.120Z
Action recommandée
Mettre à niveau AstroBlocks vers la version 3.4.0 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).