Veille sécuritéCMS & e-commerce
P3Élevée
SendPress Newsletters pour WordPress était vulnérable à une injection SQL via le paramètre subscriberid. Un attaquant non authentifié pouvait exploiter le nonce accessible sur une page publique utilisant le formulaire de gestion pour extraire des informations sensibles de la base de données.
WordPress
IdentifiantCVE-2026-93855
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-93855
Analyse technique
Le paramètre fourni par l’utilisateur n’était pas suffisamment échappé ni préparé dans la requête SQL; le nonce était rendu sur une page publique.
Impact, versions et correctif
Événement datéNouvelle vulnérabilité publiée dans la fiche NVD le 2026-10-29T04:18:43.923Z, date située dans la période demandée.
ImpactExtraction possible de données sensibles stockées dans la base de données.
Versions affectéesToutes les versions jusqu’à 1.26.1.20 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
EPSS0,41% · percentile 35,3%
Publication2026-10-29T04:18:43.923Z
Mise à jour2026-10-29T14:56:26.107Z
Action recommandée
Désactiver ou supprimer le plugin concerné jusqu’à disponibilité d’un correctif confirmé.
Sources
Priorisation DFS : P3 · 1 source(s).