CVE-2026-112774
Vulnérabilité élevée dans cms (craftcms)
CVSS 8.7 · Élevée
craftcms•cms•Versions : <5.11.0, 5.11.0, 5.8.0
Description
Craft CMS from 5.8.0 before 5.11.0 contains a remote code execution vulnerability that allows authenticated administrators to inject Yii behaviors by supplying a JSON-string field layout to ContentBlock::setFieldLayout(). Attackers with allowAdminChanges enabled can include 'as X' or 'on X' keys that bypass cleanseConfig() to execute OS commands as the web user and disclose secrets.
Gravité et risque d'exploitation
CVE-2026-112774 obtient un score CVSS de 8.7/10, soit une gravité élevée.
Que faire ?
- Vérifiez si cms (versions <5.11.0, 5.11.0, 5.8.0) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.