CVE-2026-27131
Publiée le 2026-03-23 · Dernière modification le 2026-06-17
Les sites Craft CMS utilisant le plugin Sprig (versions 2.0.0 à 2.15.1 et 3.0.0 à 3.15.1) sont concernés. Un attaquant disposant de privilèges d'administrateur ou d'un accès spécifique au « Sprig Playground » peut divulguer des données de configuration sensibles, telles que des clés de sécurité et des identifiants, ou manipuler des données signées. Cette exploitation est facile à exécuter via un réseau, mais nécessite l'authentification d'un compte de haut niveau pour aboutir.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The Sprig Plugin for Craft CMS is a reactive Twig component framework for Craft CMS. Starting in version 2.0.0 and prior to versions 2.15.2 and 3.15.2, admin users, and users with explicit permission to access the Sprig Playground, could potentially expose the security key, credentials, and other sensitive configuration data, in addition to running the `hashData()` signing function. This issue was mitigated in versions 3.15.2 and 2.15.2 by disabling access to the Sprig Playground entirely when `devMode` is disabled, by default. It is possible to override this behavior using a new `enablePlaygroundWhenDevModeDisabled` that defaults to `false`.