CVE-2026-86777
Vulnérabilité moyenne dans alchemy_cms (AlchemyCMS)
CVSS 6.9 · Moyenne
EPSS 0.6%
AlchemyCMS•alchemy_cms•Versions : <7.4.16, 8.0.0, 0, <8.3.6
Description
AlchemyCMS versions before 7.4.16 and 8.x before 8.3.6 fail to authorize access to the GET /api/nodes endpoint, allowing unauthenticated attackers to retrieve all navigation nodes. Attackers can access the endpoint without authentication to disclose restricted page names, URL paths, and internal URLs from all sites and languages.
Gravité et risque d'exploitation
CVE-2026-86777 obtient un score CVSS de 6.9/10, soit une gravité moyenne. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.56 %, ce qui la place devant 45.5 % des CVE référencées.
Que faire ?
- Vérifiez si alchemy_cms (versions <7.4.16, 8.0.0, 0, <8.3.6) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.
Références
- https://github.com/AlchemyCMS/alchemy_cms/security/advisories/GHSA-wppq-8h64-w78r
- https://github.com/AlchemyCMS/alchemy_cms/commit/5e2cd16a806c9d2df3eb6e3c889402487e0085b6
- https://github.com/AlchemyCMS/alchemy_cms/commit/9bdb98496d6f17277ed05dd1abc3188f880aa554
- https://github.com/AlchemyCMS/alchemy_cms/blob/v8.3.5/app/controllers/alchemy/api/nodes_controller.rb
- https://github.com/AlchemyCMS/alchemy_cms/releases/tag/v8.3.6
- https://github.com/AlchemyCMS/alchemy_cms/releases/tag/v7.4.16
- https://github.com/AlchemyCMS/alchemy_cms
- https://www.vulncheck.com/advisories/alchemycms-before-7.4.16-and-8-x-before-8.3.6-missing-authorization-on-get-api-nodes