FICHE CVE
CVE-2026-79987
Publiée le 2026-09-10 · Dernière modification le 2026-09-11
🇫🇷 EN BREF
Les installations de Craft CMS sont concernées si le panneau de contrôle est accessible via le réseau. Un attaquant disposant d'un compte utilisateur basique, sans privilèges d'administrateur, peut exécuter des commandes arbitraires du système d'exploitation avec les privilèges du processus PHP. Cette attaque nécessite une authentification, mais ne requiert aucune autre interaction de l'utilisateur ni condition particulière pour réussir.
DÉTAIL DU VECTEUR CVSS
Vecteur d'attaqueRéseau
Complexité d'attaqueFaible
Prérequis d'attaqueAucun
Privilèges requisFaibles
Interaction utilisateurAucune
Confidentialité (système vulnérable)Élevée
Intégrité (système vulnérable)Élevée
Disponibilité (système vulnérable)Élevée
Confidentialité (système subséquent)Aucune
Intégrité (système subséquent)Aucune
Disponibilité (système subséquent)Aucune
RÉFÉRENCES
Description officielle du NVD (en anglais)
A remote, authenticated, non-admin Craft CMS Control Panel user with only the accessCp permission can execute operating system commands as the PHP web worker.