FICHE CVE

CVE-2026-56709

Publiée le 2026-08-25 · Dernière modification le 2026-10-12

🇫🇷 EN BREF

Les versions de Grav CMS antérieures à 3.9.2 sont vulnérables à l'empoisonnement de l'en-tête d'hôte (host header poisoning) lors du processus d'envoi des e-mails d'invitation. Un attaquant non authentifié disposant d'un accès réseau peut manipuler la requête du serveur pour générer des liens d'invitation pointant vers un domaine malveillant au lieu du vôtre. Si un destinataire clique sur le lien empoisonné, il sera redirigé vers le site de l'attaquant, ce qui pourrait entraîner la fuite de son jeton d'authentification.

CVSS 4.08.7 ÉLEVÉE

Type de faiblesse

CWE-350

Publiée2026-08-25

Dernière modification2026-10-12

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Grav before 3.9.2 fails to validate untrusted Host headers in the sendInvitationEmail() function when constructing token-bearing invitation links. Attackers can manipulate the Host header to poison invitation links and redirect users to attacker-controlled domains, bypassing the require_trusted_host protection which only covers password reset flows.