CVE-2026-56394
Vulnérabilité élevée dans cms (craftcms)
CVSS 7.1 · Élevée
EPSS 0.5%
craftcms•cms•Versions : 5.9.13, <5.9.13, 5.0.0-RC1, 4.17.7, <4.17.7, 4.0.0-RC1
Description
Craft CMS from 4.0.0-RC1 contains an authenticated path traversal vulnerability in the assets/icon endpoint where the extension parameter is not validated before file existence checks. Attackers can bypass extension validation by passing traversal sequences that resolve to existing SVG files, allowing local file read access.
Gravité et risque d'exploitation
CVE-2026-56394 obtient un score CVSS de 7.1/10, soit une gravité élevée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.49 %, ce qui la place devant 41.0 % des CVE référencées.
Que faire ?
- Vérifiez si cms (versions 5.9.13, <5.9.13, 5.0.0-RC1, 4.17.7, <4.17.7, 4.0.0-RC1) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.