FICHE CVE

CVE-2025-68455

Publiée le 2026-01-05 · Dernière modification le 2026-10-07

🇫🇷 EN BREF

Les versions 4.0.0-RC1 à 4.16.16 et 5.0.0-RC1 à 5.8.20 de Craft CMS sont vulnérables à l'exécution de code à distance via des « Behaviors » malveillants. Un attaquant disposant d'un accès administrateur au panneau de contrôle peut utiliser cette faille pour exécuter des commandes arbitraires sur votre serveur. Comme cela nécessite une authentification de haut niveau, le risque est limité aux utilisateurs qui possèdent déjà un contrôle administratif total sur le site.

CVSS 4.08.6 ÉLEVÉE

Type de faiblesse

CWE-470

Publiée2026-01-05

Dernière modification2026-10-07

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisÉlevés

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Craft is a platform for creating digital experiences. Versions 5.0.0-RC1 through 5.8.20 and 4.0.0-RC1 through 4.16.16 are vulnerable to potential authenticated Remote Code Execution via malicious attached Behavior. Note that attackers must have administrator access to the Craft Control Panel for this to work. Users should update to the patched versions (5.8.21 and 4.16.17) to mitigate the issue.