Veille sécuritéCMS & e-commerce
P4Moyenne
CVE-2026-111106 concerne une injection SQL dans le plugin Mail Mint, via le paramètre `filters` du point de terminaison REST des contacts. Les versions jusqu’à 1.31.4 sont affectées ; la fiche fournie ne précise pas de correctif.
WordPress
IdentifiantCVE-2026-111106
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-111106
Analyse technique
L’injection passe par la valeur du filtre dans `SegmentFilterService::get_meta_join_query()`. Elle nécessite un compte disposant de la capacité `mint_read_contacts`, accordée par défaut aux administrateurs mais configurable pour des rôles moins privilégiés.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-16T05:17:30.223Z, dans la période demandée.
ImpactUn attaquant authentifié disposant de la capacité requise peut injecter des requêtes SQL et extraire des informations sensibles de la base de données.
Versions affectéesMail Mint jusqu’à la version 1.31.4 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.5
EPSS0,28% · percentile 19,3%
Publication2026-10-16T05:17:30.223Z
Mise à jour2026-10-16T15:17:13.057Z
Action recommandée
Vérifier les rôles disposant de la capacité `mint_read_contacts` et appliquer un correctif éditeur dès qu’il est disponible.
Sources
Priorisation DFS : P4 · 1 source(s).