Veille sécuritéCMS & e-commerce
P3Élevée
Le framework Ak, fourni avec le thème Newsy, permet une élévation de privilèges en raison de contrôles de capacité manquants dans des gestionnaires AJAX. Les versions jusqu’à 2.9.8 inclus sont concernées; un attaquant non authentifié peut modifier des options WordPress et configurer l’inscription de nouveaux comptes avec le rôle administrateur par défaut.
WordPress
IdentifiantCVE-2026-105894
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-105894
Analyse technique
Les gestionnaires `ajax_refresh_nonce` et `ak_admin_ajax` transmettent à `update_option()` des noms et valeurs d’options contrôlés sans contrôle préalable de capacité.
Impact, versions et correctif
Événement datéPublication de la fiche NVD dans la période demandée, le 2026-10-30.
ImpactCréation possible de comptes administrateurs via la modification des options d’inscription WordPress.
Versions affectéesToutes les versions jusqu’à 2.9.8 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.8
Publication2026-10-30T18:17:16.483Z
Mise à jour2026-10-30T19:18:00.977Z
Action recommandée
Mettre à jour le framework ou le thème Newsy dès qu’un correctif est disponible; à défaut, désactiver le composant concerné.
Sources
Priorisation DFS : P3 · 1 source(s).