FICHE CVE

CVE-2026-103540

Publiée le 2026-10-01 · Dernière modification le 2026-10-01

🇫🇷 EN BREF

Les installations de Form Tools jusqu'à la version 3.1.1 sont vulnérables à une faille d'injection de template dans le composant Client Settings. Un utilisateur authentifié disposant de privilèges restreints peut manipuler à distance les titres des pages pour injecter des éléments malveillants dans le moteur de template. Comme l'attaque nécessite un compte valide mais aucune autre interaction de l'utilisateur, elle est relativement simple à exécuter, bien que l'impact global sur le système soit limité.

CVSS 4.02.1 FAIBLE

Type de faiblesse

CWE-791 CWE-1336

Publiée2026-10-01

Dernière modification2026-10-01

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Faible

Intégrité (système vulnérable)Faible

Disponibilité (système vulnérable)Faible

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

Maturité de l'exploitPreuve de concept

RÉFÉRENCES

Description officielle du NVD (en anglais)

A security vulnerability has been detected in formtools.org Form Tools up to 3.1.1. This vulnerability affects the function Clients::updateClientSettingsTab of the file global/code/Clients.class.php of the component Client Settings. The manipulation of the argument page_titles leads to improper neutralization of special elements used in a template engine. It is possible to initiate the attack remotely. The exploit has been disclosed publicly and may be used. The project was informed of the problem early through an issue report but has not responded yet.