Formwork gère de manière incorrecte les privilèges lors de la création d'utilisateur

Cette faille de contrôle d'accès permet à un attaquant authentifié, avec un rôle d'éditeur, de contourner les mécanismes de sécurité et d'obtenir un accès administrateur complet à l'instance Formwork. Un attaquant disposant de ces privilèges peut modifier le contenu du site, installer des logiciels malveillants, accéder à des données sensibles, et potentiellement compromettre d'autres systèmes connectés. L'impact est significatif, car il permet une prise de contrôle totale du CMS et des données qu'il contient. Cette vulnérabilité est similaire à d'autres failles d'élévation de privilèges où une authentification préalable est requise, mais les contrôles d'autorisation sont insuffisants.

Organizations using Formwork CMS, particularly those with multiple users and a reliance on the 'editor' role for content management, are at risk. Shared hosting environments where multiple CMS instances share the same server are also at increased risk, as a compromise of one instance could potentially lead to the compromise of others.

• php: Examine Formwork CMS configuration files for unusual user roles or permissions. • generic web: Monitor access logs for POST requests to account creation endpoints with suspicious parameters. • generic web: Check CMS logs for successful account creations with administrative roles by users with the 'editor' role.

# Example: Grepping access logs for account creation attempts
grep 'POST /admin/users/create' access.log

1. 2026-02-21Disclosure

   disclosure

1. Réservé2026-02-18
2. Publiée2026-02-21
3. Modifiée2026-02-24
4. EPSS mis à jour2026-03-23

La solution principale est de mettre à jour Formwork vers la version 2.3.4, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, une mesure d'atténuation temporaire consiste à restreindre les privilèges des utilisateurs existants. Il est crucial de s'assurer que les utilisateurs disposant du rôle d'éditeur n'ont pas la possibilité d'assigner des rôles administratifs. En outre, une surveillance accrue des activités des utilisateurs avec des privilèges élevés peut aider à détecter une exploitation potentielle. Vérifiez après la mise à jour que la création de comptes administratifs par des utilisateurs non autorisés est bloquée.