Veille sécuritéCMS & e-commerce
P3Élevée
Modern Events Calendar Lite et Pro ne neutralisent pas correctement un paramètre utilisé dans une requête SQL avant la version 7.37.0. Un utilisateur authentifié disposant au moins du rôle Subscriber peut injecter des requêtes et extraire des données sensibles de la base.
WordPress
IdentifiantCVE-2026-102499
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif7.37.0
Source : NVD — CVE-2026-102499
Analyse technique
Injection SQL par ajout de requêtes à une requête existante.
Impact, versions et correctif
Événement datéLa fiche NVD fournie indique une publication le 2026-10-21 à 06:16:45.713Z, comprise dans la période.
ImpactExtraction de données sensibles de la base de données par un utilisateur authentifié de faible privilège.
Versions affectéesModern Events Calendar Lite et Pro antérieurs à 7.37.0
Version corrigée7.37.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.7
EPSS0,18% · percentile 7,0%
Publication2026-10-21T06:16:45.713Z
Mise à jour2026-10-21T18:37:38.700Z
Action recommandée
Mettre à jour Lite et Pro vers la version 7.37.0 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).