Veille sécuritéCMS & e-commerce
P4Moyenne
WX Subscribe ne nettoie ni n’échappe un paramètre avant son utilisation dans une requête SQL. Les versions jusqu’à 1.2.1 inclus sont concernées; une injection SQL non authentifiée est possible lorsque la clé de paiement n’a pas été configurée.
WordPress
IdentifiantCVE-2026-91833
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-91833
Analyse technique
Le paramètre est utilisé dans une instruction SQL sans assainissement ni échappement suffisant.
Impact, versions et correctif
Événement datéLa fiche indique une première publication NVD le 2026-10-16 à 07:17:13.803Z, dans la période demandée; l’item est retenu sur cette date de publication, et non sur la seule date de mise à jour.
ImpactUne injection SQL peut être réalisée sans authentification lorsque la clé de paiement n’est pas configurée.
Versions affectéesVersions jusqu’à 1.2.1 inclus
ContournementConfigurer la clé de paiement si le plugin reste en service, en attendant un correctif.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.8
EPSS0,18% · percentile 6,8%
Publication2026-10-16T07:17:13.803Z
Mise à jour2026-10-16T15:17:35.047Z
Action recommandée
Configurer la clé de paiement ou désactiver le plugin jusqu’à disponibilité d’un correctif.
Sources
Priorisation DFS : P4 · 1 source(s).