Veille sécuritéCMS & e-commerce
P3Élevée
Une injection SQL aveugle liée aux méthodes getNext() et getPrev() peut être déclenchée par un utilisateur authentifié du panneau de contrôle et exposer une oracle SQL conditionnelle. Les versions concernées sont Craft CMS 4.0.0 à 4.18.8 et 5.0.0 à 5.11.1 ; appliquez la mise à niveau correspondante.
Craft CMS
IdentifiantCVE-2026-123489
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifCraft CMS 4.18.9 ou 5.11.2
Source : Fiche NVD CVE-2026-123489
Analyse technique
Les critères fournis aux méthodes exposées dans l’environnement de rendu sandboxé sont appliqués sans nettoyage des propriétés SQL telles que orderBy et where.
Impact, versions et correctif
Événement datéLa publication NVD fournie date du 2026-11-06 ; l’avis GHSA correspondant est signalé comme publié le 2026-11-06. La modification NVD ultérieure n’est pas comptée comme événement distinct.
ImpactUn utilisateur authentifié du panneau de contrôle peut interroger indirectement la base de données par une oracle SQL conditionnelle.
Versions affectéesCraft CMS 4.0.0 à 4.18.8 et 5.0.0 à 5.11.1
Version corrigéeCraft CMS 4.18.9 ou 5.11.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.1
Publication2026-11-06
Action recommandée
Mettre à niveau vers Craft CMS 4.18.9 ou 5.11.2 selon la branche utilisée.
Sources
Priorisation DFS : P3 · 1 source(s).