Veille sécuritéCMS & e-commerce
P4Moyenne
Slim SEO permet l’exécution de shortcodes sans validation adéquate de la valeur transmise à do_shortcode. Un utilisateur authentifié disposant au moins du rôle Subscriber peut enregistrer une valeur dans sa biographie qui sera exécutée lors de certaines requêtes publiques affichant cette description.
WordPress
IdentifiantCVE-2026-104001
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-104001
Analyse technique
La biographie peut être modifiée via l’API REST ou l’interface d’administration; la description cite notamment les requêtes utilisant ?author= lorsque auto_redirection est désactivé.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-16, dans la période demandée; l’information retenue est la vulnérabilité décrite, et non la seule date de modification de la fiche.
ImpactExécution de shortcodes arbitraires dans le contexte de requêtes publiques affichant la description de l’auteur.
Versions affectéesToutes les versions jusqu’à 4.11.1 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.4
EPSS0,23% · percentile 13,2%
Publication2026-10-16T06:17:05.180Z
Mise à jour2026-10-16T15:17:02.993Z
Action recommandée
Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible; limiter les comptes disposant d’un accès Subscriber ou supérieur jusqu’au correctif.
Sources
Priorisation DFS : P4 · 1 source(s).