Suppression non autorisée de fichiers de la médiathèque dans Photo Reviews for WooCommerce

Veille sécuritéCMS & e-commerce

P4Moyenne

Photo Reviews for WooCommerce jusqu’à la version 1.2.31 permet la suppression non autorisée de pièces jointes de la médiathèque WordPress, y compris leurs fichiers sur disque. L’attaque peut être non authentifiée et s’appuie sur des identifiants de pièces jointes insérés dans un commentaire d’avis ; la fiche NVD a été publiée pendant la période.

IdentifiantCVE-2026-110251

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-110251

Analyse technique

La suppression d’image liée à un avis ne vérifie ni la propriété de la pièce jointe ni les droits de l’auteur. Le nonce utilisé est une valeur publique affichée sur les pages produit et ne constitue pas une authentification.

Impact, versions et correctif

Événement datéPublication de la fiche NVD le 2026-10-31, dans la période demandée. La mise à jour NVD du 2026-11-02 est postérieure et n’est pas retenue comme événement.

ImpactSuppression définitive de médias WordPress, avec perte possible de fichiers associés.

Versions affectéesToutes les versions jusqu’à 1.2.31 inclusivement

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS5.4

EPSS0,32% · percentile 24,6%

Publication2026-10-31T07:16:34.673Z

Action recommandée

Mettre à jour le plugin dès qu’une version corrigée est disponible ; examiner les avis supprimés et les pièces jointes manquantes.

Sources

NVD — CVE-2026-110251

Priorisation DFS : P4 · 1 source(s).