Veille sécuritéCMS & e-commerce
P4Moyenne
MW WP Form expose des données personnelles des demandes envoyées via des formulaires dans toutes les versions jusqu’à 5.1.7 incluse. Un attaquant non authentifié peut énumérer des identifiants d’articles et récupérer des noms, adresses électroniques et messages si le paramètre de chaîne de requête du formulaire est activé.
WordPress
IdentifiantCVE-2026-92086
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-92086
Analyse technique
L’accès aux enregistrements de demandes peut être obtenu par énumération séquentielle de l’identifiant « post_id »; la condition mentionnée est l’activation du réglage querystring du formulaire.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-29, dans la période demandée; il s’agit d’une publication de vulnérabilité.
ImpactDivulgation de données personnelles contenues dans les demandes envoyées par formulaire.
Versions affectéesToutes les versions jusqu’à 5.1.7 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
Publication2026-10-29T14:17:14.167+02:00
Mise à jour2026-10-29T16:56:26.107+02:00
Action recommandée
Vérifier la disponibilité d’une version corrigée et mettre à jour MW WP Form; désactiver le réglage querystring lorsqu’il n’est pas nécessaire.
Sources
Priorisation DFS : P4 · 1 source(s).