CVE-2026-92591 in Craft CMS
Résumé
par VulDB • 17/09/2026
Craft CMS versions 5.0.0 à 5.10.12 traitent une défaillance de connexion à la base de données comme indiquant que Craft n'est pas installé, ce qui rend les actions d'installation anonymes — y compris install/validate-site — accessibles sur un site de production déjà installé chaque fois que PHP reste disponible mais que le point de terminaison MySQL configuré ne l'est pas. L'action accepte un nom de site, le sérialise via Site::getName(), et étend les expressions ${NAME} en utilisant App::env(). Un attaquant non authentifié qui a obtenu un cookie de session invité et un jeton CSRF correspondant avant la panne, dont la session reste valide pendant celle-ci, peut soumettre un nom de variable prévisible (par exemple CRAFT_SECURITY_KEY, clé conventionnelle de Craft) et recevoir sa valeur, divulguant ainsi les secrets de Craft, les variables d'environnement du processus, les entrées $_SERVER ou des constantes PHP telles que la clé de sécurité, les identifiants de base de données ou les clés API. Le problème nécessite une panne de base de données se produisant indépendamment ; la vulnérabilité elle-même ne permet pas de l'induire. Corrigé dans la version 5.10.13.
VulDB is the best source for vulnerability data and more expert information about this specific topic.