CVE-2026-44011
Craft CMS : Exécution de code à distance authentifiée potentielle via un Behavior attaché malveillant
- Publié
- 12 mai 2026
- Mise à jour
- 13 mai 2026
- Attribution de CNA
- GitHub_M
- Preuve observée
- 29 sept. 2026
CVSS primaire
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XFaible · 30 prochains jours
- Percentile
- 44,3 %
- Date du modèle
- 25 oct. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
Résumé
Craft CMS est un système de gestion de contenu (CMS). De la version 4.0.0 à avant 4.17.12 et 5.9.18, Craft CMS contient une faille de traitement des entrées dans un chemin de création d'objet Yii qui permettait à tout utilisateur authentifié d'injecter une configuration malveillante et d'exécuter des commandes arbitraires sur le serveur. Les données de disposition des champs de condition contrôlées par la requête sont converties en un objet FieldLayout actif sans frontière Component::cleanseConfig(). Comme Craft configure les modèles avant parent::__construct(), les clés de configuration spéciales contrôlées par l'attaquant peuvent prendre effet lors de la création de l'objet, et l'initialisation de FieldLayout déclenche ensuite un événement dans la même requête. Cette vulnérabilité est corrigée dans les versions 4.17.12 et 5.9.18.
Sources
Le PoC de CVE-2026-44011 : RCE de Craft CMS avec un utilisateur authentifié.
Preuve de concept en Python pour CVE-2026-44011 dans Craft CMS, exploitant l'exécution de code à distance authentifiée avec exécution de commandes et charges utiles de reverse shell encodées en base64.
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.