Veille sécuritéBackend & données
P3Faible
Une manipulation du paramètre refundId dans TradeRefundService.updateAmound peut contourner l’autorisation à distance dans Sanluan PublicCMS. La fiche indique que l’exploit a été rendu public et que l’éditeur n’a pas répondu; versions correctives et action de mitigation non précisées dans les données fournies.
Java
IdentifiantCVE-2026-120319
GravitéFaible
Exploitationrapportée, à confirmer
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-120319
Analyse technique
Le défaut concerne la fonction TradeRefundService.updateAmound du composant publiccms-trade; la manipulation de refundId entraîne un contournement d’autorisation.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-02T02:18:47.090Z, soit le 2026-11-02T04:18:47.090+02:00, dans la période.
ImpactContournement d’autorisation à distance.
Versions affectéesSanluan PublicCMS 4.x, 5.x et 6.x
Exploitation activerapportée, à confirmer
PoC publicinconnu
CVSS2.1
Publication2026-11-02T04:18:47.090+02:00
Mise à jour2026-11-02T04:18:47.263+02:00
Action recommandée
Évaluer l’exposition du module `publiccms-trade` et suivre les avis du projet pour une version corrigée; aucune version corrective n’a été confirmée dans les sources consultées.
Sources
Priorisation DFS : P3 · 1 source(s).