FICHE CVE

CVE-2026-32264

Publiée le 2026-03-16 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les installations de Craft CMS (v4.0.0-RC1 à 4.17.4 et v5.0.0-RC1 à 5.9.10) sont vulnérables à l'exécution de code à distance via l'injection de comportements dans le panneau de contrôle. Un attaquant disposant de permissions d'administrateur de haut niveau et du paramètre `allowAdminChanges` activé peut exécuter des commandes arbitraires sur le serveur. Cette exploitation est relativement simple à réaliser via le réseau une fois que l'attaquant s'est authentifié avec les privilèges administratifs requis.

CVSS 4.08.6 ÉLEVÉE

Type de faiblesse

CWE-470

Publiée2026-03-16

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisÉlevés

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Craft CMS is a content management system (CMS). From version 4.0.0-RC1 to before version 4.17.5 and from version 5.0.0-RC1 to before version 5.9.11, there is a Behavior injection RCE vulnerability in ElementIndexesController and FieldsController. Craft control panel administrator permissions and allowAdminChanges must be enabled for this to work. This issue has been patched in versions 4.17.5 and 5.9.11.