FICHE CVE

CVE-2026-47110

Publiée le 2026-06-24 · Dernière modification le 2026-10-25

🇫🇷 EN BREF

Les versions de Tiptap pour PHP antérieures à la 2.1.1 sont affectées par une faille où l'envoi d'un lien spécifiquement malformé dans un enregistrement JSON provoque le plantage du serveur. Tout utilisateur disposant d'un compte standard peut déclencher cela à distance via le réseau sans autre interaction. Comme les données malformées sont enregistrées dans la base de données, la page concernée restera inaccessible pour tous les utilisateurs jusqu'à ce que l'enregistrement soit réparé manuellement.

CVSS 4.07.1 ÉLEVÉE

Type de faiblesse

CWE-241

Publiée2026-06-24

Dernière modification2026-10-25

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Tiptap for PHP before version 2.1.1 contains an input validation vulnerability that allows authenticated attackers to cause a denial of service by submitting Tiptap JSON with the attrs.href field set to an array instead of a string, causing an unhandled TypeError in the Link::isAllowedUri() function when passed to preg_match(). Attackers can persist malformed JSON records that permanently crash the server-side HTML rendering pipeline for all subsequent viewers of that record until the database entry is manually repaired.