Veille sécuritéCMS & e-commerce
P4Moyenne
JetFormBuilder peut permettre une modification non autorisée des valeurs de JetEngine Options Page lorsqu’un formulaire est configuré avec l’action « Update Options ». Les versions jusqu’à 3.6.2 incluse sont concernées, sous réserve que JetEngine soit également installé et actif et qu’un administrateur ait configuré cette action.
WordPress
IdentifiantCVE-2026-120561
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-120561
Analyse technique
La classe d’action Update_Options ne vérifie pas les capacités avant de modifier les options visées.
Impact, versions et correctif
Événement datéNouvelle vulnérabilité publiée par NVD dans la période, le 2026-11-03; la mise à jour de la fiche intervient également dans cette période.
ImpactUn attaquant non authentifié peut modifier des valeurs de configuration JetEngine via un formulaire vulnérable.
Versions affectéesJusqu’à la version 3.6.2 incluse; nécessite aussi JetEngine actif et un formulaire configuré avec « Update Options ».
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
EPSS0,25% · percentile 16,5%
Publication2026-11-03T05:18:33.447Z
Mise à jour2026-11-03T14:17:35.287Z
Action recommandée
Mettre à jour JetFormBuilder dès qu’un correctif est disponible et vérifier les formulaires configurés avec l’action « Update Options ».
Sources
Priorisation DFS : P4 · 1 source(s).