Veille sécuritéBackend & données
P3Critique
Le CMS e107 est vulnérable à une injection SQL avant la version 2.3.7 lorsque le plugin alt_auth est installé et configuré avec un backend de base de données externe actif. Un utilisateur non authentifié peut injecter des requêtes via le nom d’utilisateur soumis à la connexion.
PHP
IdentifiantCVE-2026-55572
GravitéCritique
Exploitationnon connue / non déterminée
Correctif2.3.7
Source : NVD — CVE-2026-55572
Analyse technique
Les backends otherdb et e107db interpolent directement le nom d’utilisateur dans des requêtes exécutées par PDO::query().
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-14, dans la période demandée.
ImpactLecture ou modification des données accessibles au compte de base de données configuré; les erreurs peuvent également révéler la requête générée.
Versions affectéesVersions antérieures à 2.3.7, avec alt_auth configuré comme décrit
Version corrigée2.3.7
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS10
Publication2026-10-14T18:17:37.863Z
Mise à jour2026-10-14T18:17:37.863Z
Action recommandée
Mettre à jour e107 vers la version 2.3.7 et vérifier la configuration et l’usage du plugin alt_auth.
Sources
Priorisation DFS : P3 · 1 source(s).