Veille sécuritéCMS & e-commerce
P4Moyenne
Le plugin Squeeze ne vérifie pas les capacités de l’utilisateur sur une action AJAX, permettant à un utilisateur authentifié ayant un rôle aussi faible que Subscriber de modifier des pièces jointes sans en être propriétaire. Les versions antérieures à 1.8.1 sont concernées ; la source ne décrit pas de contournement.
WordPress
IdentifiantCVE-2026-110029
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif1.8.1
Source : NVD — CVE-2026-110029
Analyse technique
L’action permet de rétablir une pièce jointe à sa copie de sauvegarde, de supprimer définitivement cette copie et d’effacer les dérivés WebP générés par le plugin.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-16, dans la période demandée ; la description documente une vulnérabilité et indique la version 1.8.1 comme borne corrigée.
ImpactUn utilisateur authentifié de faible privilège peut rétablir ou supprimer des fichiers liés aux pièces jointes d’autres utilisateurs.
Versions affectéesSqueeze avant 1.8.1
Version corrigée1.8.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.4
Publication2026-10-16T12:16:32.387Z
Mise à jour2026-10-16T15:17:09.340Z
Action recommandée
Mettre Squeeze à jour en version 1.8.1 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).