Veille sécuritéCMS & e-commerce
P4Moyenne
Dans weMail jusqu’à la version 2.1.6, un utilisateur disposant du rôle Éditeur peut accéder à une clé API de service de messagerie réservée au site. Cette clé réutilisable peut permettre d’usurper l’identité d’autres utilisateurs auprès du service et de rompre la connexion de messagerie du site.
WordPress
IdentifiantCVE-2026-104648
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-104648
Analyse technique
La clé API n’est pas réservée aux administrateurs et apparaît dans un écran accessible par défaut aux utilisateurs ayant le rôle Éditeur.
Impact, versions et correctif
Événement datéPublication de la fiche NVD le 2026-11-03, dans la période demandée.
ImpactUn utilisateur ayant le rôle Éditeur peut obtenir une clé permettant d’agir auprès du service de messagerie connecté.
Versions affectéesweMail jusqu’à 2.1.6 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.9
EPSS0,14% · percentile 3,3%
Publication2026-11-03T06:17:37.250Z
Mise à jour2026-11-04T15:17:23.540Z
Action recommandée
Mettre à jour weMail vers une version corrigée lorsqu’elle est disponible et remplacer toute clé API potentiellement exposée.
Sources
Priorisation DFS : P4 · 1 source(s).