Injection d’objets PHP dans Sunshine Photo Cart

Veille sécuritéCMS & e-commerce

P3Critique

Le plugin Sunshine Photo Cart jusqu’à la version 3.7.4 incluse permet une injection d’objets PHP par désérialisation de données non fiables, sans authentification. L’impact dépend de la présence d’une chaîne POP dans un autre plugin ou thème ; mettez à jour le plugin dès qu’un correctif est disponible.

IdentifiantCVE-2026-104730

GravitéCritique

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-104730

Analyse technique

Un attaquant non authentifié peut déposer une charge via la page publique des favoris ; la désérialisation est déclenchée en consultant une image d’une galerie privée ou non visible. Sans chaîne POP présente ailleurs sur le site, la faille n’a pas d’impact indiqué.

Impact, versions et correctif

Événement datéLa fiche NVD a été publiée pendant la période demandée, le 2026-10-16.

ImpactSi une chaîne POP est présente dans un autre composant, l’attaque peut permettre des actions telles que la suppression de fichiers, l’accès à des données ou l’exécution de code.

Versions affectéesToutes les versions jusqu’à 3.7.4 incluse

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS9.8

EPSS0,51% · percentile 42,3%

Publication2026-10-16T07:17:08.267Z

Mise à jour2026-10-16T15:17:03.460Z

Action recommandée

Mettre à jour dès la disponibilité d’une version corrigée ; vérifier également les plugins et thèmes installés susceptibles de fournir une chaîne POP.

Sources

NVD — CVE-2026-104730

Priorisation DFS : P3 · 1 source(s).