Veille sécuritéCMS & e-commerce
P4Moyenne
Photo Engine (Media Organizer & Lightroom) jusqu’à la version 6.5.6 incluse présente un contournement d’autorisation. Un attaquant non authentifié peut supprimer des pièces jointes média et en téléverser de nouvelles en exploitant un jeton accessible à un utilisateur abonné.
WordPress
IdentifiantCVE-2026-107770
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-107770
Analyse technique
Le jeton wplr_auth_token est divulgué dans le code source de profile.php ; il peut ensuite être utilisé sans cookie via le point d’accès /?wplr-sync-api pour déclencher les actions concernées.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée pendant la période demandée, le 2026-10-16.
ImpactSuppression permanente de pièces jointes et téléversement de nouveaux fichiers sur le site.
Versions affectéesToutes les versions jusqu’à 6.5.6 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.8
EPSS0,46% · percentile 38,4%
Publication2026-10-16T07:17:09.253Z
Mise à jour2026-10-16T15:17:05.870Z
Action recommandée
Mettre à jour dès qu’une version corrigée est disponible ; examiner les médias et journaux d’activité pour repérer d’éventuelles modifications non autorisées.
Sources
Priorisation DFS : P4 · 1 source(s).