Veille sécuritéCMS & e-commerce
P4Moyenne
Craft CMS de la branche 5.10.x avant 5.11.2 présente un contournement d’autorisation permettant à un utilisateur authentifié disposant de faibles privilèges de parcourir des volumes auxquels il n’a pas accès. Selon la description fournie, les structures de répertoires peuvent être consultées, mais pas le contenu des fichiers.
Craft CMS
IdentifiantCVE-2026-124431
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif5.11.2
Source : NVD — CVE-2026-124431
Analyse technique
Le scénario décrit implique la suppression d’un asset lié, puis l’utilisation de la fenêtre de navigation de volumes de remplacement pour consulter les structures de répertoires.
Impact, versions et correctif
Événement datéLa fiche NVD fournie indique une publication et une mise à jour le 2026-11-08. L’événement est retenu à cette date sur la base de la description de vulnérabilité et de la plage de versions fournies.
ImpactUn utilisateur authentifié peu privilégié peut consulter la structure de répertoires de volumes non autorisés, sans accès indiqué au contenu des fichiers.
Versions affectéesCraft CMS 5.10.0 à toute version antérieure à 5.11.2
Version corrigée5.11.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
Publication2026-11-08T14:18:09.147Z
Mise à jour2026-11-08T14:18:09.147Z
Action recommandée
Mettre à niveau vers Craft CMS 5.11.2 ou une version ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).