CVE-2026-32263
Publiée le 2026-03-16 · Dernière modification le 2026-06-17
Les versions 5.6.0 à 5.9.10 de Craft CMS sont affectées par une faille dans le traitement des paramètres du panneau de configuration. Un attaquant disposant de permissions d'administrateur peut exploiter cette vulnérabilité pour injecter des gestionnaires d'événements malveillants, prenant ainsi potentiellement le contrôle total du système. Cette attaque peut être réalisée via le réseau sans interaction de l'utilisateur, à condition que l'attaquant dispose déjà d'un accès administratif de haut niveau et que le paramètre « allowAdminChanges » soit activé.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Craft CMS is a content management system (CMS). From version 5.6.0 to before version 5.9.11, in src/controllers/EntryTypesController.php, the $settings array from parse_str is passed directly to Craft::configure() without Component::cleanseConfig(). This allows injecting Yii2 behavior/event handlers via "as" or "on" prefixed keys, the same attack vector as the original advisory. Craft control panel administrator permissions and allowAdminChanges must be enabled for this to work. This issue has been patched in version 5.9.11.