Veille sécuritéCMS & e-commerce
P3Élevée
La publication NVD du 25 octobre signale que Duplicator, avant la version 5.0.0, expose une procédure de mise à niveau en un clic sans contrôle approprié des droits. Un administrateur d’un site enfant multisite, qui n’est pas administrateur du réseau, peut ainsi installer et exécuter du PHP arbitraire dans le répertoire partagé du plugin.
WordPress
IdentifiantCVE-2026-115251
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif5.0.0
Source : NVD — CVE-2026-115251
Analyse technique
La procédure de mise à niveau n’est pas limitée aux utilisateurs autorisés à installer le plugin et est également accessible sans authentification.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 25 octobre 2026 à 06:16:32 UTC, soit dans la période demandée en +02:00. Sa mise à jour du 26 octobre est postérieure à la borne de fin et n’est pas retenue.
ImpactExécution de PHP arbitraire dans le répertoire partagé de Duplicator sur un réseau WordPress multisite.
Versions affectéesVersions antérieures à 5.0.0
Version corrigée5.0.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
EPSS0,17% · percentile 6,5%
Publication2026-10-25T06:16:32.373Z
Action recommandée
Mettre à jour Duplicator vers la version 5.0.0 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).