Un attaquant authentifié disposant d'un accès en lecture (via une clé API) à un modèle de contenu peut injecter des commandes SQL arbitraires dans le pipeline d'agrégation via le point de terminaison REST /api/content/aggregate/{model}.

Cette faille permet aux attaquants de :

• Contourner le filtre de contenu publié prévu (_state=1) pour lire les brouillons non publiés.
• Extraire le contenu complet des documents de toute collection dans la même base de données SQLite.
• Énumérer le schéma interne de la base de données via sqlite_master.

2. Reproduction de l'exploit étape par étape

Les étapes suivantes démontrent comment un attaquant peut contourner le filtre d'autorisation _state=1.

Prérequis

• Cockpit CMS 2.13.4 ou inférieur
• Une clé API avec au moins un accès en lecture à un modèle de collection de contenu.

2.1 : Configurer le modèle de contenu

1. Connectez-vous au tableau de bord d'administration de Cockpit CMS en tant qu'administrateur.
2. Accédez à Contenu > Modèles et créez un nouveau modèle nommé testcol.
3. Ajoutez deux champs Texte au modèle : title et body.

Capture d'écran : Configuration du modèle de contenu testcol

2.2 : Configurer le rôle API et la clé

1. Accédez à Paramètres > Rôles.
2. Créez ou modifiez un rôle (par exemple, MasterRole) afin qu'il dispose de la permission LECTURE pour le modèle testcol.

Capture d'écran : Configuration des permissions du rôle pour la collection

3. Accédez à Paramètres > API & Sécurité (Clés API).
4. Ajoutez une nouvelle clé API et attribuez-lui le rôle MasterRole que vous venez de configurer. Copiez la valeur de la clé (par exemple, API-b8e8...).

Capture d'écran : Configuration de la clé API avec le rôle d'accès en lecture

2.3 : Créer du contenu d'exemple (y compris un brouillon secret)

1. Accédez à Contenu > testcol.
2. Créez un élément intitulé Public et définissez son état sur PUBLIÉ (icône verte).
3. Créez un deuxième élément intitulé SECRET_DRAFT et définissez son état sur NON PUBLIÉ (icône rouge).

Capture d'écran : La liste des éléments montrant un élément publié et un élément non publié

2.4 : Exécuter l'exploit

Par défaut, les requêtes API standard ne renvoient que le contenu dont l'état est Publié. Cependant, en injectant du SQL dans le pipeline d'agrégation, le filtre de contenu publié peut être contourné.

1. Construisez la charge utile suivante. La charge utile sort de la fonction SQL json_extract() et ajoute un commentaire SQL -- pour neutraliser le SQL de fin, ciblant spécifiquement la clause WHERE qui limite les résultats aux éléments publiés.

Champ injecté :

Pipeline JSON complet :

2. Encodez le pipeline JSON dans l'URL et envoyez une requête GET via le navigateur (ou curl) au point de terminaison /api/content/aggregate/testcol. Assurez-vous de remplacer YOUR_API_KEY par la clé générée à l'étape 2.2 :

2.5 : Vérification de l'exploit

Comme le montre la capture d'écran finale ci-dessous, la réponse API renvoie avec succès l'élément SECRET_DRAFT malgré son état explicitement NON PUBLIÉ. Cela confirme que l'injection SQL contourne le mécanisme d'autorisation central de l'application et permet l'extraction non autorisée de données via l'API.

Capture d'écran : Extraction réussie des données non publiées 'SECRET_DRAFT'

3. Impact — Conséquences

Dans un déploiement CMS headless classique, une clé API publique en lecture seule est souvent intégrée/codée en dur dans le JavaScript frontal. En exploitant cette vulnérabilité via le point de terminaison API public, un attaquant peut :

• Contourner le filtre de contenu publié pour lire les brouillons non publiés, les éléments archivés et le contenu masqué.
• Lire toutes les collections de contenu dans la même base de données content.sqlite, y compris les collections pour lesquelles la clé API n'est pas autorisée.
• Énumérer le schéma de la base de données via sqlite_master pour découvrir tous les noms et structures de tables.

4. Chronologie de divulgation

Annexe :

• https://github.com/Cockpit-HQ/Cockpit/security/advisories/GHSA-7x5c-vfhj-9628
• https://www.cve.org/CVERecord?id=CVE-2026-31891