Téléversement de fichiers arbitraires dans affiliate-toolkit

Veille sécuritéCMS & e-commerce

P3Élevée

Le plugin affiliate-toolkit présente une vulnérabilité de téléversement de fichiers arbitraires via `upload_image` ; un compte disposant au moins du rôle de contributeur peut potentiellement téléverser un fichier exécutable. L’exploitation dépend de l’activation de l’option d’import d’image de produit, et aucune version corrigée n’est précisée dans les données fournies.

IdentifiantCVE-2026-111255

GravitéÉlevée

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-111255

Analyse technique

La validation du type de fichier est insuffisante ; le type MIME et l’extension sont influencés par des données contrôlées par l’attaquant.

Impact, versions et correctif

Événement datéRetenue comme nouvelle vulnérabilité : la date de publication indiquée par NVD, 2026-10-28T04:17:56.390Z, correspond au 2026-10-28T06:17:56.390+02:00, dans la période demandée.

ImpactLe téléversement d’un fichier exécutable peut permettre une exécution de code à distance, sous réserve des conditions d’exploitation décrites.

Versions affectéesToutes les versions jusqu’à 3.9.2 inclus

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.5

EPSS0,52% · percentile 43,7%

Publication2026-10-28T06:17:56.390+02:00

Mise à jour2026-10-28T19:17:38.683+02:00

Action recommandée

Vérifier la disponibilité d’une version corrigée et la déployer dès sa publication ; sinon, désactiver l’option d’import d’image de produit et limiter les comptes disposant de droits de contributeur.

Sources

NVD — CVE-2026-111255

Priorisation DFS : P3 · 1 source(s).