CVE-2026-120429
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les versions de Camaleon CMS antérieures à la 2.9.2 sont affectées par une faille dans l'Admin MediaController. Ce logiciel est utilisé pour la gestion de contenu et l'administration de sites web. La vulnérabilité existe car le système ne vérifie pas correctement les autorisations d'accès lors du traitement des requêtes média, permettant ainsi aux utilisateurs de contourner les restrictions basées sur les rôles.
Un attaquant disposant d'un compte avec des privilèges restreints peut télécharger des fichiers arbitraires, récupérer des médias privés ou modifier les avatars d'autres utilisateurs. Cela compromet la confidentialité des fichiers privés ainsi que l'intégrité des profils utilisateurs. L'exploitation est facile à exécuter via un réseau et nécessite seulement une authentification basique, sans aucune autre interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Camaleon CMS before 2.9.2 contains a missing authorization vulnerability in Admin::MediaController that allows low-privileged authenticated users to bypass the role-based Media permission. Attackers can POST to /admin/media/upload to store files, read private media via download_private_file, and use crop with saved_avatar to change other users' avatars.