Veille sécuritéCMS & e-commerce
P4Moyenne
News Kit Addons For Elementor avant 1.4.9 ne contrôle pas les capacités requises dans l’une de ses actions AJAX. Un utilisateur authentifié disposant au minimum du rôle Subscriber peut installer et activer une extension spécifique depuis le dépôt WordPress.org.
WordPress
IdentifiantCVE-2026-97352
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif1.4.9
Source : NVD — CVE-2026-97352
Analyse technique
Absence de contrôle de capacité sur une action AJAX permettant l’installation et l’activation d’une extension spécifique.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-24, dans la période demandée; sa mise à jour ultérieure du 2026-10-26 n’est pas retenue comme événement de cette période.
ImpactInstallation et activation non autorisées d’une extension par un utilisateur authentifié de faible privilège.
Versions affectéesNews Kit Addons For Elementor avant 1.4.9
Version corrigée1.4.9
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.3
EPSS0,18% · percentile 7,2%
Publication2026-10-24T06:16:37.443Z
Mise à jour2026-10-26T13:50:14.083Z
Action recommandée
Mettre à jour News Kit Addons For Elementor vers la version 1.4.9 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).