Veille sécuritéCMS & e-commerce
P3Élevée
Dans Kirki, un contrôle d’accès par objet insuffisant dans l’API REST des pages permet à un utilisateur ayant accès à l’édition Kirki — notamment un éditeur dans la configuration par défaut — de modifier des publications qu’il ne possède pas. Il peut notamment modifier leur titre, slug ou statut, y compris pour des types de contenu personnalisés et des produits WooCommerce.
WordPress
IdentifiantCVE-2026-112347
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif6.4.1
Source : NVD — CVE-2026-112347
Analyse technique
Les routes et gestionnaires concernés ne vérifient pas les capacités WordPress pour chaque objet; le champ post_status peut également être manipulé.
Impact, versions et correctif
Événement datéLa fiche NVD indique une première publication le 2026-10-30, dans la période; la version corrigée 6.4.1 est indiquée dans le contenu de la fiche.
ImpactModification non autorisée de contenus, divulgation de contenus privés ou brouillons, ou retrait de contenus publiés.
Versions affectéesVersions antérieures à 6.4.1
Version corrigée6.4.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
Publication2026-10-30T14:16:37.903Z
Mise à jour2026-10-30T19:23:25.493Z
Action recommandée
Mettre à jour Kirki vers la version 6.4.1 ou ultérieure et revoir les rôles disposant de droits d’édition Kirki.
Sources
Priorisation DFS : P3 · 1 source(s).