Acadlix LMS — suppression de fichiers arbitraires (CVE-2026-103882)

Veille sécuritéCMS & e-commerce

P3Critique

Le plugin WordPress Acadlix LMS permettait la suppression de fichiers arbitraires par une route insuffisamment protégée, avec un nonce rendu publiquement dans les pages du site. Les versions jusqu’à 1.1.9 inclus sont indiquées comme vulnérables; le résumé fourni décrit un accès effectif pouvant être non authentifié, mais aucun correctif n’est établi dans les éléments consultés.

IdentifiantCVE-2026-103882

GravitéCritique

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-103882

Analyse technique

La fonction concernée est `post_delete_assessment_file_by_id`; la suppression de certains fichiers pourrait contribuer à une compromission plus étendue du site.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-10-31 à 09:16:32.510Z, soit le 2026-10-31 à 11:16:32.510+02:00, dans la période demandée. La mise à jour NVD du 2026-11-02 est postérieure à la borne et n’est pas retenue.

ImpactSuppression de fichiers arbitraires sur le serveur, susceptible d’entraîner une compromission plus large.

Versions affectéesJusqu’à 1.1.9 inclus

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS9.1

EPSS0,79% · percentile 56,2%

Publication2026-10-31T11:16:32.510+02:00

Action recommandée

Mettre à jour dès qu’un correctif est disponible; en attendant, désactiver le plugin ou la fonctionnalité vulnérable et examiner les journaux ainsi que les fichiers du site.

Sources

NVD — CVE-2026-103882

Priorisation DFS : P3 · 1 source(s).