Veille sécuritéCMS & e-commerce
P3Élevée
GeoDirectory avant 2.8.194 échappe insuffisamment du texte défini par l’administrateur avant de l’écrire dans un fichier PHP généré. Un utilisateur privilégié, notamment un administrateur de sous-site multisite ne pouvant autrement exécuter du code, peut provoquer une exécution de code à distance déclenchable par un visiteur non authentifié.
WordPress
IdentifiantCVE-2026-113673
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif2.8.194
Source : NVD — CVE-2026-113673
Analyse technique
Texte administrateur insuffisamment échappé lors de la génération d’un fichier PHP dans le répertoire du plugin.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-24, dans la période demandée; sa mise à jour ultérieure du 2026-10-26 n’est pas retenue comme événement de cette période.
ImpactExécution de code à distance, déclenchable par un visiteur non authentifié après l’action d’un utilisateur privilégié.
Versions affectéesGeoDirectory avant 2.8.194
Version corrigée2.8.194
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
EPSS0,29% · percentile 19,9%
Publication2026-10-24T06:16:36.907Z
Mise à jour2026-10-26T13:50:14.083Z
Action recommandée
Mettre à jour GeoDirectory vers la version 2.8.194 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).