Veille sécuritéCMS & e-commerce
P3Élevée
Une faille de lecture de fichiers permet à un utilisateur authentifié du panneau de contrôle de lire des fichiers SVG accessibles au processus PHP. Craft CMS 5.7.0 à 5.11.1 est concerné ; mettre à jour vers 5.11.2 ou une version ultérieure.
Craft CMS
IdentifiantCVE-2026-124428
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif5.11.2
Source : NVD — CVE-2026-124428
Analyse technique
Le point de terminaison app/icon-svg accepte des chemins ou alias arbitraires sans vérification de permission indiquée dans la fiche.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-08 à 14:18:08.677Z, soit 16:18:08.677+02:00, dans la période. L’avis GitHub associé consulté est antérieur à la période ; l’événement retenu ici est la publication NVD.
ImpactDivulgation de fichiers SVG lisibles par le processus PHP, y compris hors de l’installation Craft.
Versions affectéesCraft CMS 5.7.0 à 5.11.1
Version corrigée5.11.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.1
Publication2026-11-08T16:18:08.677+02:00
Mise à jour2026-11-08T16:18:08.677+02:00
Action recommandée
Mettre à jour Craft CMS vers la version 5.11.2 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).