🛡 xj1.fr/cve
FICHE CVE

CVE-2026-1770

Publiée le 2026-02-02 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Crafter Studio, au sein de Crafter CMS, est affecté par une faille qui permet à un utilisateur disposant de permissions de niveau développeur de contourner le bac à sable (sandboxing) de sécurité. Un attaquant possédant ces identifiants peut exécuter des commandes arbitraires du système d'exploitation sur le serveur en insérant du code Groovy malveillant. Bien que l'exploitation puisse être réalisée via le réseau, elle nécessite une authentification de haut niveau ainsi qu'un ensemble de conditions complexes pour réussir à contourner le bac à sable.

CVSS 4.04.5 MOYENNE
Type de faiblesse
CWE-913
Publiée2026-02-02
Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau
Complexité d'attaqueÉlevée
Prérequis d'attaqueAucun
Privilèges requisÉlevés
Interaction utilisateurAucune
Confidentialité (système vulnérable)Faible
Intégrité (système vulnérable)Élevée
Disponibilité (système vulnérable)Élevée
Confidentialité (système subséquent)Élevée
Intégrité (système subséquent)Élevée
Disponibilité (système subséquent)Élevée
Maturité de l'exploitNon signalée
AutomatisableNon

RÉFÉRENCES

Description officielle du NVD (en anglais)

Improper Control of Dynamically-Managed Code Resources vulnerability in Crafter Studio of Crafter CMS allows authenticated developers to execute OS commands via Groovy Sandbox Bypass. By inserting malicious Groovy elements, an attacker may bypass sandbox restrictions and obtain RCE (Remote Code Execution).