Veille sécuritéCMS & e-commerce
P4Moyenne
affiliate-toolkit avant la version 3.8.9 ne valide pas une valeur de tri fournie par l’utilisateur avant son utilisation dans une requête SQL. Des utilisateurs disposant du rôle éditeur ou supérieur peuvent exploiter cette injection SQL pour lire des informations arbitraires de la base; sur multisite, un éditeur de sous-site peut notamment accéder à la table globale des utilisateurs et aux hachages de mots de passe des super-administrateurs. Mettre à jour au moins en version 3.8.9.
WordPress
IdentifiantCVE-2026-110179
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif3.8.9
Source : CVE-2026-110179 — NVD
Analyse technique
Une valeur de tri non filtrée atteint une requête SQL dans un écran administratif accessible avec une capacité inférieure à celle d’administrateur.
Impact, versions et correctif
Événement datéNouvelle fiche NVD publiée dans la période; publication retenue le 2026-10-16T07:17:10.807Z. La mise à jour administrative ultérieure de la fiche ne constitue pas un événement distinct.
ImpactLecture de données arbitraires en base, dont des hachages de mots de passe de super-administrateurs sur multisite.
Versions affectéesVersions antérieures à 3.8.9.
Version corrigée3.8.9
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.8
EPSS0,17% · percentile 5,6%
Publication2026-10-16T07:17:10.807Z
Mise à jour2026-10-16T15:17:09.840Z
Action recommandée
Mettre à jour au moins vers la version 3.8.9.
Sources
Priorisation DFS : P4 · 1 source(s).