Veille sécuritéCMS & e-commerce
P4Moyenne
La faille permet à un attaquant non authentifié de rattacher certaines installations de WP Compress à son compte, puis d’obtenir la clé API partagée et d’effectuer des opérations privilégiées sur le plugin. Elle concerne les installations neuves ou en mode lite/free sans clé API préexistante, jusqu’à la version 7.22.01 incluse.
WordPress
IdentifiantCVE-2026-120551
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-120551
Analyse technique
Le contrôle d’autorisation échoue lorsque la clé API stockée est absente; la clé obtenue donne accès aux opérations privilégiées des points de terminaison protégés par HMAC.
Impact, versions et correctif
Événement datéNouvelle vulnérabilité publiée par NVD dans la période, le 2026-11-03; il ne s’agit pas seulement d’une modification administrative d’une fiche existante.
ImpactUn attaquant peut modifier les réglages et exécuter des opérations privilégiées, notamment purger le cache et supprimer des fichiers.
Versions affectéesJusqu’à la version 7.22.01 incluse; installations neuves ou en mode lite/free sans clé API préexistante.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
EPSS0,25% · percentile 16,2%
Publication2026-11-03T05:18:32.637Z
Mise à jour2026-11-03T05:18:32.790Z
Action recommandée
Évaluer l’exposition des installations concernées et appliquer une version corrigée dès qu’elle est disponible; aucune version corrigée n’est indiquée dans les éléments fournis.
Sources
Priorisation DFS : P4 · 1 source(s).