CVE-2026-49287
Publiée le 2026-06-19 · Dernière modification le 2026-10-25
Les versions de Statamic CMS antérieures à 5.73.23 et 6.20.0 sont affectées par une faille dans la manière dont les collections en mémoire sont triées. Un attaquant distant non authentifié pourrait potentiellement supprimer du contenu et des ressources en manipulant les paramètres de tri. Cette faille est difficile à exploiter car elle nécessite une configuration spécifique et non standard du modèle front-end, où les entrées utilisateur sont transmises directement au paramètre de tri d'une balise.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Statamic is a Laravel and Git powered content management system (CMS). Prior to 5.73.23 and 6.20.0, the fix for CVE-2026-41175 was incomplete. It addressed the issue in the query builder, but the same protection was not applied to in-memory collection sorting. Manipulating sort parameters could result in the loss of content and assets. This requires a front-end template that passes request input into a tag's sort parameter. It is not exploitable by default — a template would need to be explicitly set up to sort by a visitor-controlled value. This has been fixed in 5.73.23 and 6.20.0.