Veille sécuritéCMS & e-commerce
P4Moyenne
CFDB7 peut supprimer un fichier arbitraire à partir de données de soumission stockées, sans vérifier que le fichier appartient à la soumission concernée. La description fournie indique qu’un attaquant non authentifié peut injecter un champ multipartie façonné pour atteindre ce traitement.
WordPress
IdentifiantCVE-2026-107652
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-107652
Analyse technique
Le traitement de suppression transmet à unlink() des valeurs stockées dont la clé contient cfdb7_file, sans validation de l’appartenance du fichier ni restriction du chemin.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-14, dans la période. L’item est retenu comme vulnérabilité publiée à cette date, et non sur la seule base de sa date de modification.
ImpactUn attaquant peut provoquer la suppression de fichiers arbitraires accessibles au processus du serveur.
Versions affectéesVersions jusqu’à 1.4.1 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
EPSS0,31% · percentile 21,9%
Publication2026-10-14T02:16:57.297Z
Mise à jour2026-10-14T14:26:59.367Z
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible; à défaut, désactiver le plugin jusqu’à l’application d’un correctif.
Sources
Priorisation DFS : P4 · 1 source(s).