FICHE CVE

CVE-2026-78140

Publiée le 2026-08-23 · Dernière modification le 2026-10-12

🇫🇷 EN BREF

Les versions de Dromara UJCMS jusqu'à la 10.1.3 sont affectées par une faille d'injection de template dans le point de terminaison web-file-template. Un attaquant disposant de privilèges administratifs de haut niveau peut manipuler les templates à distance pour exécuter des actions non autorisées, bien que l'impact global sur l'intégrité du système soit faible. Comme l'exploit est public et ne nécessite aucune interaction de l'utilisateur, il est facile à réaliser une fois l'authentification nécessaire obtenue.

CVSS 4.02.0 FAIBLE

Type de faiblesse

CWE-791 CWE-1336

Publiée2026-08-23

Dernière modification2026-10-12

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisÉlevés

Interaction utilisateurAucune

Confidentialité (système vulnérable)Faible

Intégrité (système vulnérable)Faible

Disponibilité (système vulnérable)Faible

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

Maturité de l'exploitPreuve de concept

RÉFÉRENCES

Description officielle du NVD (en anglais)

A flaw has been found in Dromara UJCMS up to 10.1.3. The impacted element is the function update of the file src/main/java/com/ujcms/cms/ext/web/backendapi/WebFileTemplateController.java of the component web-file-template Endpoint. Executing a manipulation can lead to improper neutralization of special elements used in a template engine. The attack can be launched remotely. The exploit has been published and may be used.