CVE-2026-40331
Qu'est-ce que CVE-2026-40331 ?
Masa CMS est un système de gestion de contenu open source. Dans les versions 7.2.0 à 7.2.9, 7.3.0 à 7.3.14, 7.4.0 à 7.4.9 et 7.5.0 à 7.5.2, l'API JSON non authentifiée accepte un paramètre altTable qui est stocké via la méthode setAltTable() sans validation ni nettoyage. Cette valeur est injectée directement dans une clause SQL FROM dans feedGateway.cfc. Un attaquant non authentifié peut transmettre une sous-requête arbitraire dans le paramètre altTable pour lire les données sensibles de n'importe quelle table de la base de données dans une seule requête HTTP, y compris les informations d'identification administratives et le jeton de réinitialisation du mot de passe.
FAQ
CVE-2026-40331 a un score CVSS de N/D/10, évalué comme Inconnu. Consultez la liste des produits affectés et appliquez les correctifs du fournisseur.
Le CVSS (Common Vulnerability Scoring System) évalue la gravité des vulnérabilités de 0,0 à 10,0. CVE-2026-40331 obtient N/D/10 (Inconnu). Les scores de 9,0–10,0 sont Critiques, 7,0–8,9 Élevés, 4,0–6,9 Moyens et inférieurs à 4,0 Faibles.
La liste des appareils confirmés comme étant affectés par CVE-2026-40331 est indiquée dans la section "Appareils affectés" ci-dessus. Comparez votre version de firmware avec l'avis de sécurité du fournisseur et appliquez le dernier correctif.
Appliquez la dernière mise à jour du firmware ou du logiciel du fournisseur. Consultez la section Références ci-dessus pour les avis officiels et les notes de correctif. Si aucun correctif n'est disponible, envisagez de désactiver la fonctionnalité affectée ou d'isoler l'appareil des réseaux non fiables.