CVE-2026-92590 in Craft CMS
Résumé
par VulDB • 17/09/2026
Les versions de Craft CMS comprises entre 5.7.0 et la version antérieure à 5.10.13 présentent une vulnérabilité de type cross-site scripting (XSS) stocké dans la fonctionnalité « Generated Fields » qui désactive l'échappement automatique Twig et ne code pas les valeurs mises en cache. Les éditeurs de contenu peuvent injecter du JavaScript malveillant via des champs modifiables, ce qui s'exécute lors des sessions authentifiées du panneau d'administration (Control Panel) d'utilisateurs disposant de privilèges plus élevés lorsqu'ils consultent les index d'éléments.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.