Veille sécuritéCMS & e-commerce
P3Élevée
Craft CMS de la branche 5.10.x avant 5.11.2 présente une vulnérabilité d’exécution de code à distance exploitable par un utilisateur non-administrateur du panneau de contrôle. La description fournie indique que l’exploitation peut conduire à l’exécution de commandes système avec les privilèges du processus PHP.
Craft CMS
IdentifiantCVE-2026-124430
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif5.11.2
Source : NVD — CVE-2026-124430
Analyse technique
La vulnérabilité concerne le rendu de modèles Twig via le point de terminaison app/render-elements et l’évaluation de modèles signés non sandboxés.
Impact, versions et correctif
Événement datéLa fiche NVD fournie indique une publication et une mise à jour le 2026-11-08. L’événement est retenu à cette date sur la base de la description de vulnérabilité et de la plage de versions fournies.
ImpactUn utilisateur non-administrateur authentifié du panneau de contrôle peut potentiellement exécuter des commandes système sous l’identité du processus PHP.
Versions affectéesCraft CMS 5.10.0 à toute version antérieure à 5.11.2
Version corrigée5.11.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.7
Publication2026-11-08T14:18:08.990Z
Mise à jour2026-11-08T14:18:08.990Z
Action recommandée
Mettre à niveau vers Craft CMS 5.11.2 ou une version ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).