Veille sécuritéCMS & e-commerce
P4Moyenne
Enable Media Replace ne fait pas passer le fichier remplacé par le pipeline d’envoi WordPress et peut ainsi contourner le préfiltre de nettoyage SVG. Si l’extension permettant les SVG est active, un utilisateur autorisé à téléverser des fichiers peut stocker un SVG contenant un script ; mettre à jour vers la version 4.2.3 ou ultérieure.
WordPress
IdentifiantCVE-2026-114431
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif4.2.3
Source : NVD — CVE-2026-114431
Analyse technique
Le fichier SVG remplacé échappe au préfiltre de nettoyage et le script s’exécute lors de l’ouverture directe du fichier.
Impact, versions et correctif
Événement datéFiche NVD publiée le 2026-11-04T06:17:00.867Z, dans la période demandée.
ImpactUn utilisateur disposant du droit d’envoi peut stocker un SVG scripté dans les conditions indiquées.
Versions affectéesEnable Media Replace avant 4.2.3, avec une extension d’activation SVG
Version corrigée4.2.3
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,17% · percentile 6,5%
Publication2026-11-04T06:17:00.867Z
Mise à jour2026-11-04T15:17:34.983Z
Action recommandée
Mettre à jour Enable Media Replace vers la version 4.2.3 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).