Injection de code PHP dans CTX Feed - developpeur-full-stack.fr

Veille sécuritéCMS & e-commerce

P3Élevée

CVE-2026-87964 est une injection de code PHP dans CTX Feed, qui permet à des utilisateurs authentifiés disposant de droits de gestionnaire de boutique d’exécuter du code arbitraire sur le serveur. Toutes les versions jusqu’à 8.0.26 incluse sont concernées ; la voie décrite est activée par défaut et aucun correctif n’est indiqué dans les données fournies.

IdentifiantCVE-2026-87964

GravitéÉlevée

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-87964

Analyse technique

La valeur feedConfigCustom2 est stockée sans assainissement suffisant puis évaluée par eval() lors de la génération du flux ; ctxfeed_custom2_eval_enabled est activée par défaut.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication initiale le 2026-11-06 ; cette divulgation est dans la période demandée, indépendamment de ses modifications administratives.

ImpactExécution de code à distance pouvant conduire à la compromission du site.

Versions affectéesToutes les versions jusqu’à 8.0.26 incluse.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.2

EPSS1,37% · percentile 72,0%

Publication2026-11-06T10:16:38.110Z

Mise à jour2026-11-06T10:16:38.277Z

Détection / vérification

Un compte ayant au moins des droits de gestionnaire de boutique est requis.

Action recommandée

Mettre à jour le plugin dès qu’un correctif est disponible et limiter les rôles de gestionnaire de boutique.

Sources

NVD — CVE-2026-87964

Priorisation DFS : P3 · 1 source(s).