WP Inventory Manager : injection SQL temporelle via un shortcode

Veille sécuritéCMS & e-commerce

P4Moyenne

WP Inventory Manager est vulnérable à une injection SQL temporelle via l’attribut sort_order du shortcode wpinventory_categories, exploitable par un utilisateur authentifié de niveau Contributeur ou supérieur. Les versions jusqu’à 2.5.5 inclus sont concernées ; aucun correctif ni contournement n’est précisé dans les éléments fournis.

IdentifiantCVE-2026-76005

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-76005

Analyse technique

L’attribut fourni par l’utilisateur n’est pas suffisamment échappé ou préparé avant son utilisation dans la requête SQL. Un Contributeur peut placer le shortcode dans un brouillon puis déclencher son rendu lors de l’aperçu, avec une extraction possible de données de la base.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-10-28T07:16:48.707Z, dans la période demandée. Sa mise à jour du 2026-10-29T02:16:53.437Z est postérieure à la borne de fin et n’est pas retenue comme événement.

ImpactExtraction possible d’informations sensibles depuis la base de données.

Versions affectéesJusqu’à 2.5.5 inclus

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS6.5

EPSS0,28% · percentile 20,6%

Publication2026-10-28T07:16:48.707Z

Action recommandée

Mettre à jour vers une version corrigée dès qu’elle est disponible et limiter la création ou la prévisualisation de contenus contenant des shortcodes contrôlés.

Sources

NVD — CVE-2026-76005

Priorisation DFS : P4 · 1 source(s).