FICHE CVE

CVE-2026-25233

Publiée le 2026-02-03 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les installations PHP utilisant le framework PEAR avant la version 1.33.0 sont affectées par une erreur logique dans la vérification des rôles liés aux feuilles de route (roadmaps). Un attaquant disposant d'un compte utilisateur standard peut contourner l'autorisation pour créer, mettre à jour ou supprimer des feuilles de route, des actions normalement réservées aux mainteneurs principaux. Cela peut être exécuté à distance via le réseau sans aucune autre interaction de l'utilisateur.

CVSS 4.07.1 ÉLEVÉE

Type de faiblesse

CWE-783

Publiée2026-02-03

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

security-advisories@github.com

Description officielle du NVD (en anglais)

PEAR is a framework and distribution system for reusable PHP components. Prior to version 1.33.0, logic bug in the roadmap role check allows non-lead maintainers to create, update, or delete roadmaps. This issue has been patched in version 1.33.0.