Injection d’objet PHP dans Enable Media Replace

Veille sécuritéCMS & e-commerce

P3Élevée

CVE-2026-114422 est une injection d’objet PHP dans Enable Media Replace, pouvant conduire à une inclusion locale de fichier et, dans certaines conditions, à l’exécution de code à distance. Le plugin est vulnérable avant la version 4.2.3 ; la source décrit une régression de CVE-2023-4643, corrigée en 4.1.3 puis réintroduite en 4.1.4.

IdentifiantCVE-2026-114422

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif4.2.3

Source : NVD — CVE-2026-114422

Analyse technique

La désérialisation des métadonnées stockées n’impose pas de restriction sur les classes autorisées durant le remplacement d’un média et la mise à jour des liens. L’exploitation de la chaîne décrite nécessite notamment qu’un utilisateur ayant accès aux téléversements effectue le remplacement du média.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-10-30, dans la période demandée ; la description détaille une vulnérabilité et sa régression.

ImpactL’inclusion de fichiers PHP ou HTML existants peut, sous certaines conditions, être escaladée en exécution de code à distance.

Versions affectéesVersions antérieures à 4.2.3

Version corrigée4.2.3

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.5

EPSS0,82% · percentile 57,2%

Publication2026-10-30T06:16:44.770Z

Mise à jour2026-10-30T17:49:38.703Z

Action recommandée

Mettre à jour vers la version 4.2.3 ou ultérieure.

Sources

NVD — CVE-2026-114422

Priorisation DFS : P3 · 1 source(s).