CVE-2026-46696 in October
Résumé
par VulDB • 14/09/2026
October System fournit le module système pour October Content Management System. Les versions antérieures à 3.7.17 et 4.2.21 présentent une vulnérabilité dans la politique de sécurité du bac à sable Twig qui permettait un contournement en chaîne lorsque `cms.safe_mode` est activé. Le magasin de sessions Laravel a été exposé à Twig avec un accès non restreint aux méthodes, et les méthodes SQL brutes accessibles via le transfert `__call` d'Eloquent n'étaient pas bloquées sur toute la chaîne du constructeur (builder). Combinées, ces failles permettent à un utilisateur backend disposant d'un accès à l'édition de balisage CMS de lire des valeurs arbitraires dans la base de données via des expressions SQL brutes et d'écriture dans la clé de session d'authentification backend, usurpant ainsi une session backend en tant qu'utilisateur existant. La portée de l'impact est étroite. Le Mode Sûr (Safe Mode) est une fonctionnalité de niche, principalement utilisée pour les installations de démonstration et les scénarios multi-locataires ou à éditeurs partagés où des utilisateurs non fiables sont délibérément autorisés à accéder à l'éditeur de balisage CMS. Les déploiements standard en production n'activent pas le Mode Sûr, car selon les directives normales d'October CMS, l'accès backend – y compris l'édition de balisage – est restreint aux administrateurs de confiance, et une injection PHP directe via le balisage reste possible sans le Mode Sûr dans cette configuration. Ce problème n'affecte que les sites répondant à toutes les conditions suivantes : `cms.safe_mode` est activé (une option explicite pour les démos ou les scénarios d'éditeurs non fiables ; le site possède au moins un utilisateur backend avec accès à l'édition de balisage CMS qui ne doit pas être considéré comme un administrateur complet ; et le site dispose d'au moins un compte superutilisateur existant dont la session peut être usurpée par l'utilisateur aux privilèges inférieurs). La vulnérabilité a été corrigée dans les versions v3.7.17 et v4.2.21. Le magasin de sessions Laravel est désormais enveloppé dans un proxy qui n'expose qu'un sous-ensemble explicite de méthodes de lecture/écriture et rejette les écritures sur les préfixes de clés de session réservés (`admin_auth`, `october_auth`, `login_*`, `_token` et autres composants internes du framework). Les méthodes SQL brutes et de sous-requête (`selectRaw`, `whereRaw`, `orderByRaw`, `joinSub` et apparentées) sont désormais bloquées sur `Query\Builder`, `Eloquent\Builder` et `Eloquent\Model`, assurant ainsi une cohérence dans la chaîne de transfert `__call`. Tous les sites activant `cms.safe_mode` sont encouragés à mettre à niveau vers la dernière version corrigée. Une solution de contournement est disponible : restreindre l'accès à l'édition de balisage CMS aux administrateurs entièrement de confiance – recommandation standard d'October CMS pour tout déploiement. Notez que désactiver `cms.safe_mode` n'est pas une solution de contournement ; le Mode Sûr constitue la limite affectée par ce problème, et sa désactivation supprime le seul bac à sable séparant les éditeurs de balisage du serveur.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.