Veille sécuritéCMS & e-commerce
P4Moyenne
Tainacan jusqu’à la version 1.3.0 permet à un utilisateur authentifié disposant au moins du rôle Editor de lire des fichiers arbitraires via une traversée de répertoires. Le chemin d’import empoisonné est conservé en base puis lu par un endpoint REST ; mettre à jour vers une version corrigée, si disponible.
WordPress
IdentifiantCVE-2026-104743
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-104743
Analyse technique
Le paramètre tmp_file permet de persister un chemin contrôlé ; l’endpoint /source_info le transmet ensuite à fopen() et fgetcsv(), puis renvoie le contenu analysé dans la réponse REST.
Impact, versions et correctif
Événement datéPublication de la fiche NVD le 2026-10-28 ; seule cette publication est retenue comme événement dans la période. La mise à jour NVD du 2026-10-29 est postérieure à la borne de fin.
ImpactUn utilisateur authentifié de niveau Editor ou supérieur peut lire des fichiers arbitraires, potentiellement sensibles.
Versions affectéesToutes les versions jusqu’à 1.3.0 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.9
EPSS0,84% · percentile 57,8%
Publication2026-10-28T07:16:43.653Z
Mise à jour2026-10-29T02:16:46.037Z
Action recommandée
Mettre à jour Tainacan vers une version corrigée lorsqu’elle est disponible.
Sources
Priorisation DFS : P4 · 1 source(s).