FICHE CVE

CVE-2026-84792

Publiée le 2026-09-02 · Dernière modification le 2026-09-02

🇫🇷 EN BREF

Les versions de Craft CMS antérieures à la 5.10.11 permettent aux utilisateurs disposant d'un accès limité au panneau de configuration de déplacer ou de publier du contenu dans des sections qu'ils ne sont pas autorisés à modifier. Pour exploiter cette faille, un attaquant doit posséder un compte utilisateur valide et un accès réseau au panneau de configuration, puis manipuler l'ID de la section de destination lors d'une requête d'enregistrement. Aucune interaction supplémentaire de l'utilisateur ni aucun privilège spécial ne sont requis pour effectuer cette action.

CVSS 4.05.3 MOYENNE

Type de faiblesse

Autorisation manquante · CWE-862

Publiée2026-09-02

Dernière modification2026-09-02

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Faible

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Craft CMS versions before 5.10.11 contain a broken access control vulnerability in the element-indexes/save-elements endpoint that allows control panel users to move entries into sections they cannot edit. Attackers with limited section permissions can relocate or publish entries to unauthorized sections by overwriting the sectionId attribute after initial authorization checks, bypassing the destination section permission validation.