CVE-2025-32432

Exploitation de Code à Distance dans Craft CMS

Une faille critique (CVE-2025-32432) a été identifiée dans Craft CMS, un système de gestion de contenu, résultant d’un problème au sein du framework Yii. Cette vulnérabilité permet à des attaquants d’exécuter du code malveillant sur les serveurs via des requêtes spécialement conçues.

Points Clés :

• Nature de la vulnérabilité : Exécution de code à distance (RCE).
• Cause : Problème dans le framework Yii utilisé par Craft CMS.
• Impact observé : Des attaques “zero-day” ont été constatées, combinant cette faille avec CVE-2024-58136 pour pirater des serveurs, installer des gestionnaires de fichiers basés sur PHP, téléverser des portes dérobées et voler des données sensibles.

Vulnérabilités :

• CVE-2025-32432 : Exécution de code à distance (RCE) dans Craft CMS.
• Versions affectées :
  • Craft CMS versions 3.0.0-RC1 à 3.9.14.
  • Craft CMS versions 4.0.0-RC1 à 4.14.14.
  • Craft CMS versions 5.0.0-RC1 à 5.6.16.

Recommandations :

• Mise à jour : Appliquer immédiatement les correctifs disponibles, notamment les versions 3.9.15, 4.14.15 et 5.6.17 de Craft CMS.

Source