Veille sécuritéCMS & e-commerce
P3Élevée
Une escalade de privilèges affecte Craft CMS à partir de la version 5.8.17 et avant 5.11.2 : un utilisateur authentifié du panneau de contrôle peut faire appliquer des critères non nettoyés et promouvoir des comptes administrateur. Mettez à niveau vers Craft CMS 5.11.2 ou une version ultérieure.
Craft CMS
IdentifiantCVE-2026-123490
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifCraft CMS 5.11.2
Source : Fiche NVD CVE-2026-123490
Analyse technique
La méthode getOwners() applique des critères fournis par l’appelant sans assainir la configuration de requête, ce qui permet l’invocation de fonctions statiques PHP choisies par l’attaquant.
Impact, versions et correctif
Événement datéLa publication NVD fournie date du 2026-11-06 ; l’avis GHSA correspondant est signalé comme publié le 2026-11-06. La modification NVD ultérieure n’est pas comptée comme événement distinct.
ImpactUn utilisateur authentifié du panneau de contrôle peut obtenir des privilèges administrateur.
Versions affectéesCraft CMS 5.8.17 à 5.11.1
Version corrigéeCraft CMS 5.11.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.7
Publication2026-11-06
Action recommandée
Mettre à niveau Craft CMS vers 5.11.2 ou une version ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).