Veille sécuritéCMS & e-commerce
P4Moyenne
rtMedia ne vérifie pas qu’un utilisateur possède l’album ciblé ou est autorisé à y déposer des fichiers. Avant la version 4.7.14, un utilisateur authentifié avec un rôle Subscriber ou supérieur peut placer un média dans l’album privé d’un autre utilisateur, avec attribution à celui-ci.
WordPress
IdentifiantCVE-2026-88927
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif4.7.14
Source : NVD — CVE-2026-88927
Analyse technique
Le contrôle d’autorisation sur l’album désigné lors du téléversement est insuffisant.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-14 à 07:17:04.273Z, dans la période demandée; c’est cette date de publication, et non la modification ultérieure, qui est retenue.
ImpactDes médias peuvent être ajoutés à des albums privés sans autorisation, et attribués à un autre utilisateur.
Versions affectéesrtMedia for WordPress, BuddyPress and bbPress versions antérieures à 4.7.14
Version corrigée4.7.14
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.3
EPSS0,16% · percentile 4,8%
Publication2026-10-14T07:17:04.273Z
Mise à jour2026-10-14T16:14:02.800Z
Détection / vérification
Vérifier si rtMedia est installé et antérieur à la version 4.7.14.
Action recommandée
Mettre à jour rtMedia vers la version 4.7.14 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).