Ad Inserter : exécution de shortcodes arbitraires

Veille sécuritéCMS & e-commerce

P4Moyenne

Ad Inserter peut exécuter des shortcodes arbitraires à partir d’une valeur non validée, dans une configuration où un bloc publicitaire utilisant une balise dynamique est affiché sur les pages de recherche. La fiche précise que cette configuration est documentée et que l’attaque peut être menée sans authentification.

IdentifiantCVE-2026-102905

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-102905

Analyse technique

L’exécution est déclenchée par do_shortcode() sans validation correcte d’une valeur; la condition indiquée concerne un bloc avec balise dynamique tel que {title}, {tag}, {category} ou {smart-tag}.

Impact, versions et correctif

Événement datéLa fiche NVD indique une première publication le 2026-10-30, dans la période; l’item est retenu comme vulnérabilité publiée, et non sur la seule base de sa date de modification.

ImpactExécution non authentifiée de shortcodes enregistrés dans la configuration décrite.

Versions affectéesToutes les versions jusqu’à 2.8.19 incluse

ContournementDésactiver l’affichage des blocs concernés sur les pages de recherche jusqu’à l’installation d’un correctif.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS6.5

Publication2026-10-30T18:17:14.540Z

Mise à jour2026-10-30T18:33:26.087Z

Action recommandée

Mettre à jour vers une version corrigée dès qu’elle est disponible; en attendant, désactiver l’affichage sur les pages de recherche des blocs utilisant des balises dynamiques.

Sources

NVD — CVE-2026-102905

Priorisation DFS : P4 · 1 source(s).