Veille sécuritéCMS & e-commerce
P3Élevée
Ultimate Multisite ne valide pas une valeur fournie par l’utilisateur qui sert à sélectionner un fichier à inclure. Un attaquant non authentifié peut ainsi inclure et lire des fichiers locaux arbitraires, dont le fichier de configuration de WordPress.
WordPress
IdentifiantCVE-2026-107508
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif2.17.2
Source : NVD — CVE-2026-107508
Analyse technique
Une valeur contrôlée par l’utilisateur sélectionne un fichier inclus sans validation suffisante.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-14, dans la période retenue; l’événement retenu est la publication de la vulnérabilité, et non la seule modification administrative.
ImpactLecture de fichiers locaux arbitraires, pouvant exposer des informations sensibles de configuration.
Versions affectéesUltimate Multisite antérieur à 2.17.2
Version corrigée2.17.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.6
EPSS0,20% · percentile 9,7%
Publication2026-10-14T09:17:01.983+02:00
Mise à jour2026-10-14T18:14:02.800+02:00
Action recommandée
Mettre à jour Ultimate Multisite vers la version 2.17.2 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).