FICHE CVE

CVE-2026-25498

Publiée le 2026-02-09 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les installations de Craft CMS (versions 4.0.0-RC1 à 4.16.17 et 5.0.0-RC1 à 5.8.21) sont vulnérables à l'exécution de code à distance. Un attaquant disposant de privilèges d'administrateur peut injecter des configurations malveillantes pour exécuter des commandes système arbitraires sur le serveur sous-jacent. Cette exploitation est facile à réaliser via le réseau, mais nécessite une authentification administrative de haut niveau pour aboutir.

CVSS 4.08.6 ÉLEVÉE

Type de faiblesse

CWE-470

Publiée2026-02-09

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisÉlevés

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Craft is a platform for creating digital experiences. In versions 4.0.0-RC1 through 4.16.17 and 5.0.0-RC1 through 5.8.21, a Remote Code Execution (RCE) vulnerability exists in Craft CMS where the assembleLayoutFromPost() function in src/services/Fields.php fails to sanitize user-supplied configuration data before passing it to Craft::createObject(). This allows authenticated administrators to inject malicious Yii2 behavior configurations that execute arbitrary system commands on the server. This vulnerability represents an unpatched variant of the behavior injection vulnerability addressed in CVE-2025-68455, affecting different endpoints through a separate code path. This vulnerability is fixed in 5.8.22.