CVE-2026-107914
Publiée le 2026-10-09 · Dernière modification le 2026-10-14
Les installations de Backdrop CMS (versions 1.34 antérieures à 1.34.5 et 1.35 antérieures à 1.35.1) peuvent ne pas supprimer les archives de configuration compressées après leur exportation. Un attaquant disposant d'un accès local au système pourrait potentiellement découvrir et lire ces fichiers résiduels pour obtenir des données de configuration sensibles du site. Cette faille est difficile à exploiter car elle nécessite que l'attaquant dispose déjà d'un accès local et dépend du fait qu'un utilisateur privilégié ait précédemment déclenché une exportation de configuration.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Backdrop CMS 1.34 before 1.34.5 and 1.35 before 1.35.1 doesn't sufficiently protect configuration exports when delivering a compressed archive. This vulnerability is mitigated by the fact that an export must have been previously requested by someone with the "Synchronize, import, and export configuration" permission. NOTE: CVE-2026-107914 refers to the vulnerability in which config.admin.inc does not ensure that a file_unmanaged_delete operation occurs. Therefore, many archives could persist: config.tar.gz, config_0.tar.gz, config_1.tar.gz, etc. There is a separate config.module issue that could allow remote access by an anonymous user, but only for the one filename config.tar.gz.