Veille sécuritéCMS & e-commerce
P3Élevée
VikRentCar jusqu’à la version 1.4.8 incluse présente une faille CSRF qui peut permettre l’écriture de code PHP dans des fichiers de modèles exécutables. L’attaque requiert qu’un administrateur effectue une action forgée ; la source ne précise pas de version corrigée.
WordPress
IdentifiantCVE-2026-111120
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-111120
Analyse technique
Validation de nonce absente ou incorrecte dans condtext_update_tmpl ; le code injecté peut être écrit dans des modèles ensuite inclus par le plugin.
Impact, versions et correctif
Événement datéPublication NVD le 2026-10-28T07:16:46.837Z, dans la période demandée ; retenue comme divulgation d’une vulnérabilité nouvelle.
ImpactSi un administrateur est amené à effectuer une requête forgée, un attaquant peut faire écrire du PHP dans des modèles inclus par le plugin et potentiellement exécuter du code sur le serveur.
Versions affectéesVikRentCar Car Rental Management System jusqu’à 1.4.8 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.8
EPSS0,32% · percentile 24,3%
Publication2026-10-28T07:16:46.837Z
Mise à jour2026-10-28T16:17:01.273Z
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible et éviter toute action d’administration déclenchée depuis des liens ou contenus non fiables.
Sources
Priorisation DFS : P3 · 1 source(s).