CVE-2026-120430
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les versions de Camaleon CMS antérieures à la 2.9.2 sont affectées par une faille de référence directe non sécurisée à un objet. Ce logiciel est utilisé comme système de gestion de contenu pour la création de sites web. La faille se situe dans le contrôleur des catégories, où le système ne vérifie pas correctement si un utilisateur dispose des permissions nécessaires pour modifier l'ID d'une catégorie spécifique demandée.
Un attaquant disposant d'un compte avec des privilèges limités peut renommer ou supprimer des catégories qu'il n'est pas autorisé à gérer. Cela impacte l'intégrité et la disponibilité de la structure organisationnelle du site. L'exploitation est simple via un réseau et ne nécessite qu'une authentification basique, bien qu'elle ne permette pas une prise de contrôle totale du système ni le vol de données.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Camaleon CMS before 2.9.2 contains an insecure direct object reference vulnerability in Admin::CategoriesController that allows authenticated users to modify unauthorized categories by referencing arbitrary category IDs. Users authorized for one post type can send update or destroy requests pairing another category ID with their authorized post_type_id to rename or delete categories.