Veille sécuritéCMS & e-commerce
P4Moyenne
Travelly jusqu’à la version 2.3.6 incluse ne vérifie pas correctement les autorisations lors de la duplication de publications. Un utilisateur authentifié ayant au moins le rôle Contributeur peut copier dans ses brouillons le contenu et les métadonnées de publications privées, brouillons ou en attente appartenant à d’autres ; aucune version corrigée n’est indiquée.
WooCommerceWordPress
IdentifiantCVE-2026-111213
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-111213
Analyse technique
Contournement d’autorisation : le nonce de duplication est statique et n’est pas lié à l’identifiant de la publication ciblée.
Impact, versions et correctif
Événement datéPublication NVD le 2026-10-28T07:16:46.990Z, dans la période demandée ; retenue comme divulgation d’une vulnérabilité nouvelle. La mise à jour ultérieure de la fiche, le 2026-10-29, est hors période.
ImpactUn utilisateur authentifié de niveau Contributeur ou supérieur peut obtenir des copies du contenu et des métadonnées de publications non publiques.
Versions affectéesTravelly – Tour & Travel Booking Manager for WooCommerce jusqu’à 2.3.6 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.3
EPSS0,22% · percentile 12,7%
Publication2026-10-28T07:16:46.990Z
Mise à jour2026-10-29T02:16:49.350Z
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est publiée et limiter les privilèges de publication aux comptes de confiance.
Sources
Priorisation DFS : P4 · 1 source(s).