Veille sécuritéBackend & données
P4Moyenne
Craft CMS 5.0.0 à 5.11.1 présente un contournement d’autorisation dans l’API GraphQL : des clients non authentifiés peuvent lire du contenu de sites hors du périmètre du schéma en interrogeant le champ `localized` sans `siteId`. Mettre à niveau vers Craft CMS 5.11.2 ou une version ultérieure; à défaut, restreindre ou désactiver l’accès GraphQL anonyme.
Craft CMSGraphQL
IdentifiantCVE-2026-124426
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif5.11.2
Source : NVD — CVE-2026-124426
Analyse technique
Contournement de la portée Sites du schéma GraphQL, permettant la divulgation de contenu d’autres sites via le champ `localized`.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-08 à 14:18:08.350 UTC (16:18:08.350 +02:00), dans la période demandée. La copie également présente dans les candidats « mises à jour » ne constitue pas un événement distinct.
ImpactDivulgation non autorisée de contenu de sites exclus de la portée du schéma GraphQL.
Versions affectéesCraft CMS 5.0.0 à 5.11.1
Version corrigée5.11.2
ContournementRestreindre ou désactiver l’accès GraphQL anonyme si la mise à niveau n’est pas possible.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.9
Publication2026-11-08T14:18:08.350+00:00
Mise à jour2026-11-08T14:18:08.350+00:00
Action recommandée
Mettre à niveau Craft CMS vers 5.11.2 ou ultérieur; restreindre l’accès GraphQL anonyme jusqu’à la mise à niveau.
Sources
Priorisation DFS : P4 · 1 source(s).