CVE-2026-109979 — Divulgation de titres de publications dans Related Posts for WordPress

Veille sécuritéCMS & e-commerce

P4Moyenne

Related Posts for WordPress expose les titres de publications non publiques jusqu’à la version 3.0.0 incluse. Un utilisateur authentifié ayant au moins le rôle Contributor peut lier un identifiant de publication arbitraire à un brouillon qu’il contrôle et lire ensuite le titre correspondant; la fiche fournie ne mentionne pas de correctif.

IdentifiantCVE-2026-109979

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-109979

Analyse technique

Le gestionnaire vérifie le nonce et le droit de modifier le billet parent, mais ne vérifie pas que l’utilisateur peut lire le billet enfant fourni. Le rendu des liens récupère ensuite les billets sans contrôle de capacité de lecture et affiche leur titre.

Impact, versions et correctif

Événement datéLa fiche NVD a été publiée le 2026-10-28T07:16:45.453Z, dans la période demandée; sa mise à jour du 2026-10-29T02:16:47.690Z est postérieure à la borne de fin et n’est pas retenue.

ImpactDivulgation des titres de billets brouillons, privés, en attente, planifiés ou placés à la corbeille.

Versions affectéesToutes les versions jusqu’à 3.0.0 incluse

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS4.3

EPSS0,30% · percentile 22,4%

Publication2026-10-28T07:16:45.453Z

Action recommandée

Mettre à jour dès qu’un correctif est disponible et limiter les comptes Contributor aux personnes de confiance.

Sources

NVD — CVE-2026-109979

Priorisation DFS : P4 · 1 source(s).