Veille sécuritéBackend & données
P3Élevée
Le 6 novembre 2026, Craft CMS a publié un avis concernant une injection SQL dans l’eager-loading GraphQL, exploitable sans authentification pour accéder à des données de la base. Les versions 4.x antérieures à 4.18.9 et 5.x antérieures à 5.11.2 sont concernées ; mettre à jour vers la version corrigée correspondante.
Craft CMSGraphQL
IdentifiantCVE-2026-123491
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifCraft CMS 4.18.9 et 5.11.2
Source : NVD — CVE-2026-123491
Analyse technique
Des arguments de nœuds eager-loadables absents du schéma GraphQL public sont transmis aux critères EagerLoadPlan sans nettoyage, permettant une injection SQL et la lecture de données arbitraires, notamment des empreintes de mots de passe et des jetons de session.
Impact, versions et correctif
Événement datéRetenu comme nouvelle publication de sécurité datée du 6 novembre 2026 : l’avis GitHub et la fiche NVD sont publiés ce jour-là. La fiche NVD indique une publication à 2026-11-06T15:17:18.663Z, soit 2026-11-06T17:17:18+02:00.
ImpactDivulgation non autorisée de données arbitraires de la base de données.
Versions affectéesCraft CMS 4.0.0 à 4.18.8 et 5.0.0 à 5.11.1
Version corrigéeCraft CMS 4.18.9 et 5.11.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.8
Publication2026-11-06T17:17:18+02:00
Mise à jour2026-11-06T22:15:23+02:00
Action recommandée
Mettre à jour Craft CMS vers la version 4.18.9 ou 5.11.2, selon la branche utilisée.
Sources
Priorisation DFS : P3 · 1 source(s).