Veille sécuritéCMS & e-commerce
P4Moyenne
Le plugin Wp Map Block ne vérifie pas suffisamment les capacités de l’utilisateur ni la propriété des cartes lors de certaines opérations REST. Jusqu’à la version 3.0.0 incluse, un utilisateur authentifié ayant au moins le rôle de contributeur peut publier, dépublier ou supprimer des cartes.
WordPress
IdentifiantCVE-2026-19798
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-19798
Analyse technique
Les fonctions `set_status()` et `bulk()` transmettent des identifiants de cartes contrôlés par l’appelant à des opérations de modification ou de suppression, sans contrôle d’objet adéquat.
Impact, versions et correctif
Événement datéLa fiche indique une première publication NVD le 2026-10-16 à 07:17:13.217Z, dans la période demandée; l’item est retenu sur cette date de publication, et non sur la seule date de mise à jour.
ImpactDes cartes peuvent être rendues publiques, masquées ou supprimées sans autorisation appropriée.
Versions affectéesVersions jusqu’à 3.0.0 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.3
EPSS0,20% · percentile 9,7%
Publication2026-10-16T07:17:13.217Z
Mise à jour2026-10-16T15:17:15.747Z
Action recommandée
Limiter les rôles contributeur et appliquer un correctif éditeur dès qu’il est disponible.
Sources
Priorisation DFS : P4 · 1 source(s).