Veille sécuritéCMS & e-commerce
P4Moyenne
Le plugin WP Visitor Statistics (Real Time Traffic) présente une injection SQL exploitable par un utilisateur authentifié de niveau Contributeur ou supérieur. Les versions jusqu’à 8.8 inclus sont concernées ; le contenu fourni ne précise ni correctif ni contournement.
WordPress
IdentifiantCVE-2026-116609
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-116609
Analyse technique
Les attributs from, to, first et second du shortcode [wsm_showTrafficStatsList] ne sont pas suffisamment échappés ou préparés avant leur insertion dans une requête SQL. L’exploitation peut permettre d’extraire des informations sensibles de la base de données.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-28T07:16:47.287Z, dans la période demandée. Sa mise à jour du 2026-10-29T02:16:50.870Z est postérieure à la borne de fin et n’est pas retenue comme événement.
ImpactExtraction possible de données sensibles depuis la base de données.
Versions affectéesJusqu’à 8.8 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.5
EPSS0,34% · percentile 26,9%
Publication2026-10-28T07:16:47.287Z
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible et limiter les contenus de shortcode contrôlés par des utilisateurs non fiables.
Sources
Priorisation DFS : P4 · 1 source(s).