← Toutes les vulnérabilités exploitées (KEV)

Vulnérabilités Craft CMS activement exploitées (KEV)

Les 4 vulnérabilités Craft CMS dont la CISA a confirmé l’exploitation réelle, de la plus récente à la plus ancienne. Textes traduits automatiquement ; la fiche de la CISA fait foi.

CVE-2025-32432 — Craft CMS : vulnérabilité d'injection de code Critique

Produit : Craft CMS Craft CMS
Ajoutée au catalogue : 20 mars 2026
Échéance CISA : 3 avril 2026
Rançongiciels : pas d’usage connu
Faiblesse : CWE-94
Gravité : CVSS 10,0 (critique)
Probabilité d’exploitation (EPSS) : 100 %

Craft CMS contient une vulnérabilité d'injection de code qui permet à un attaquant distant d'exécuter du code arbitraire.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · craftcms.com · github.com

Fiche détaillée : versions, références, chronologie →

CVE-2025-35939 — Craft CMS : contrôle externe de paramètre web supposé immuable

Produit : Craft CMS Craft CMS
Ajoutée au catalogue : 2 juin 2025
Échéance CISA : 23 juin 2025
Rançongiciels : pas d’usage connu
Faiblesse : CWE-472
Gravité : CVSS 6,9 (moyenne)
Probabilité d’exploitation (EPSS) : 1 %

Craft CMS contient une vulnérabilité de contrôle externe de paramètre web supposé immuable. Cette vulnérabilité pourrait permettre à un client non authentifié d'introduire des valeurs arbitraires, telles que du code PHP, dans un emplacement de fichier local connu sur le serveur. Cette vulnérabilité pourrait être chaînée avec CVE-2024-58136 comme représenté par CVE-2025-32432.

Références : NVD · CISA · github.com

CVE-2024-56145 — Craft CMS : vulnérabilité d'injection de code Critique

Produit : Craft CMS Craft CMS
Ajoutée au catalogue : 2 juin 2025
Échéance CISA : 23 juin 2025
Rançongiciels : pas d’usage connu
Faiblesse : CWE-94
Gravité : CVSS 9,3 (critique)
Probabilité d’exploitation (EPSS) : 97 %

Craft cms contient une vulnérabilité d'injection de code. les utilisateurs des versions affectées sont vulnérables à une exécution de code à distance si leur configuration php.ini a `register_argc_argv` activé.

Références : NVD · CISA · github.com

Fiche détaillée : versions, références, chronologie →

CVE-2025-23209 — Craft CMS : vulnérabilité d'injection de code

Produit : Craft CMS Craft CMS
Ajoutée au catalogue : 20 février 2025
Échéance CISA : 13 mars 2025
Rançongiciels : pas d’usage connu
Faiblesse : CWE-94
Gravité : CVSS 8,1 (élevée)
Probabilité d’exploitation (EPSS) : 22 %

Craft cms contient une vulnérabilité d'injection de code causée par une validation incorrecte du chemin de sauvegarde de la base de données, permettant finalement une exécution de code à distance.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · github.com

← Retour au suivi KEV · télécharger tout le catalogue (CSV)