Veille sécuritéCMS & e-commerce
P4Moyenne
La fiche NVD publiée le 28 octobre signale qu’une action AJAX de WP Roster ne contrôle ni les capacités ni le nonce. Un attaquant non authentifié peut supprimer les comptes WordPress des membres du roster ; mettre à jour WP Roster vers la version 2.35 ou ultérieure.
WordPress
IdentifiantCVE-2026-115255
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif2.35
Source : CVE-2026-115255 — NVD
Analyse technique
L’action AJAX vulnérable ne met en œuvre aucun contrôle de capacité ou de nonce.
Impact, versions et correctif
Événement datéPublication de la fiche NVD dans la période demandée, le 28 octobre 2026.
ImpactSuppression de comptes utilisateurs WordPress de membres du roster par un attaquant non authentifié.
Versions affectéesWP Roster avant 2.35
Version corrigée2.35
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
EPSS0,15% · percentile 4,4%
Publication2026-10-28T08:16:35.830+02:00
Mise à jour2026-10-28T20:17:11.933+02:00
Action recommandée
Mettre à jour WP Roster vers la version 2.35 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).