FICHE CVE

CVE-2026-43937

Publiée le 2026-05-12 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les versions de YetAnotherForum.NET (YAF.NET) antérieures à la 4.0.5 permettent à tout utilisateur enregistré d'exécuter des commandes SQL arbitraires sur la base de données. Un attaquant peut exploiter cette faille en envoyant une requête réseau spécifiquement conçue vers un point de terminaison administratif, contournant ainsi les contrôles d'accès prévus. Aucun privilège spécial ni interaction de l'utilisateur n'est requis, si ce n'est de posséder un compte basique sur le forum.

CVSS 3.18.8 ÉLEVÉE

Type de faiblesse

Injection SQL · CWE-89 CWE-841

Publiée2026-05-12

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

YetAnotherForum.NET (YAF.NET) is a C# ASP.NET forum. Prior to 4.0.5, Any admin OnPost… handler executes its side effects before the ResultFilterAttribute rewrites the response to a 302 to /Info/4. The most impactful abuse is /Admin/RunSql, whose OnPostRunQuery binds Editor from the POST body and passes it straight to IDbAccess.RunSql with no caller check, yielding arbitrary SQL execution for any low-privileged user. This vulnerability is fixed in 4.0.5.