Veille sécuritéCMS & e-commerce
P4Moyenne
Salon Booking System avant la version 10.31.9 génère des jetons d’accès à l’API de réservation à partir d’une valeur codée en dur et de l’heure d’émission, au lieu d’une source aléatoire sûre. Un attaquant capable de contraindre le moment d’émission d’un jeton de personnel ou d’administrateur peut le calculer et accéder à l’API sous cette identité; mettre à jour au moins en version 10.31.9.
WordPress
IdentifiantCVE-2026-110013
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif10.31.9
Source : CVE-2026-110013 — NVD
Analyse technique
Les jetons ne reposent pas sur une source cryptographiquement sûre; leur calcul peut permettre l’accès à l’API comme utilisateur visé, y compris administrateur.
Impact, versions et correctif
Événement datéNouvelle fiche NVD publiée dans la période; publication retenue le 2026-10-16T07:17:10.253Z. La mise à jour administrative ultérieure de la fiche ne constitue pas un événement distinct.
ImpactAccès non autorisé à l’API de réservation sous l’identité d’un membre du personnel ou d’un administrateur.
Versions affectéesVersions antérieures à 10.31.9.
Version corrigée10.31.9
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.8
EPSS0,14% · percentile 3,1%
Publication2026-10-16T07:17:10.253Z
Mise à jour2026-10-16T15:17:08.820Z
Action recommandée
Mettre à jour au moins vers la version 10.31.9.
Sources
Priorisation DFS : P4 · 1 source(s).