FICHE CVE

CVE-2026-4509

Publiée le 2026-03-21 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les versions de PbootCMS jusqu'à la 3.2.12 sont affectées par une faille dans le composant de téléchargement de fichiers qui permet à un attaquant de contourner les restrictions de type de fichier. Un utilisateur distant disposant de privilèges de compte de bas niveau peut exploiter cette faille pour télécharger des fichiers potentiellement restreints sur le serveur. Étant donné que l'exploit est disponible publiquement et ne nécessite aucune interaction particulière de l'utilisateur, il est relativement facile à exécuter si l'attaquant possède déjà des identifiants de connexion.

CVSS 4.02.1 FAIBLE

Type de faiblesse

CWE-183 CWE-184

Publiée2026-03-21

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Faible

Intégrité (système vulnérable)Faible

Disponibilité (système vulnérable)Faible

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

Maturité de l'exploitPreuve de concept

RÉFÉRENCES

Description officielle du NVD (en anglais)

A security flaw has been discovered in PbootCMS up to 3.2.12. This affects an unknown function of the file core/function/file.php of the component File Upload. The manipulation of the argument black results in incomplete blacklist. The attack may be launched remotely. The exploit has been released to the public and may be used for attacks.