FICHE CVE

CVE-2026-33157

Publiée le 2026-03-24 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les versions 5.6.0 à 5.9.12 de Craft CMS sont affectées par une faille qui permet à un attaquant d'exécuter du code arbitraire sur le serveur. Pour exploiter cette vulnérabilité, l'utilisateur doit déjà disposer d'un accès authentifié au panneau de configuration du site. Une fois connecté, l'attaquant peut envoyer une requête réseau spécialement conçue pour prendre le contrôle total du système sous-jacent.

CVSS 4.08.6 ÉLEVÉE

Type de faiblesse

CWE-470

Publiée2026-03-24

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisÉlevés

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Craft CMS is a content management system (CMS). From version 5.6.0 to before version 5.9.13, a Remote Code Execution (RCE) vulnerability exists in Craft CMS, it can be exploited by any authenticated user with control panel access. This is a bypass of a previous fix. The existing patches add cleanseConfig() to assembleLayoutFromPost() and various FieldsController actions to strip Yii2 behavior/event injection keys ("as" and "on" prefixed keys). However, the fieldLayouts parameter in ElementIndexesController::actionFilterHud() is passed directly to FieldLayout::createFromConfig() without any sanitization, enabling the same behavior injection attack chain. This issue has been patched in version 5.9.13.