FearlessCMS : scripts de débogage exposés et opérations de fichiers non protégées

Veille sécuritéFrontend

P3Critique

FearlessCMS avant 0.1.4 expose plusieurs scripts de débogage et de test sous `admin/` sans contrôles suffisants, permettant notamment des écritures et lectures de fichiers ainsi que des XSS. Mettre à jour vers 0.1.4 et vérifier les fichiers et contenus accessibles ou modifiés par ces scripts.

IdentifiantCVE-2026-63190

GravitéCritique

Exploitationnon connue / non déterminée

Correctif0.1.4

Source : NVD — CVE-2026-63190

Analyse technique

Le contournement de contrôle de chemin sur le serveur PHP intégré peut exposer des scripts privilégiés sans authentification. Les scripts permettent notamment des écritures arbitraires de fichiers Markdown, des lectures et énumérations de répertoires, des XSS stockées ou réfléchies et un épuisement disque; l’impact dépend aussi des privilèges du processus PHP.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-10-28T20:18:37.470Z, dans la période demandée.

ImpactÉcriture et lecture de fichiers, XSS, défiguration et épuisement disque; les conséquences peuvent être amplifiées par les privilèges PHP.

Versions affectéesFearlessCMS antérieur à 0.1.4

Version corrigée0.1.4

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS9.4

Publication2026-10-28T20:18:37.470Z

Mise à jour2026-10-29T19:17:25.440Z

Action recommandée

Mettre à jour vers 0.1.4; examiner les journaux, les contenus et fichiers du site, et réduire les privilèges du processus PHP.

Sources

NVD — CVE-2026-63190

Priorisation DFS : P3 · 1 source(s).