Veille sécuritéBackend & données
P4Moyenne
Craftplan jusqu’à la version 0.7.5 ne vérifie pas correctement l’autorisation de créer des clients dans la ressource CRM Customer. Un attaquant non authentifié peut ajouter des fiches client via JSON:API ou la mutation GraphQL create_customer.
GraphQL
IdentifiantCVE-2026-111349
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-111349
Analyse technique
Création non autorisée de fiches client par requête anonyme, notamment via la mutation GraphQL create_customer.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-15 à 22:19:32.587Z, soit le 2026-10-16 à 00:19:32.587+02:00, dans la période demandée.
ImpactUn utilisateur non authentifié peut insérer des noms, coordonnées et adresses choisis par l’attaquant dans le CRM.
Versions affectéesCraftplan jusqu’à 0.7.5 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.9
EPSS0,30% · percentile 20,7%
Publication2026-10-16T00:19:32.587+02:00
Action recommandée
Mettre à niveau vers une version corrigée dès qu’elle est identifiée; en attendant, restreindre l’accès aux points de terminaison concernés.
Sources
Priorisation DFS : P4 · 1 source(s).