Le plugin Car Dealer (Dealership) and Vehicle sales jusqu’à la version 4.73 permet à un attaquant non authentifié de consulter le titre, le contenu et les métadonnées de contenus privés, brouillons, en attente, programmés ou supprimés. La fiche NVD indique cette vulnérabilité comme publiée pendant la période ; aucune version corrigée ni mesure de contournement n’est précisée dans les données fournies.
Source : NVD — CVE-2026-105971
Analyse technique
L’action AJAX non authentifiée de consultation d’une annonce ne vérifie pas que le contenu demandé est publié. La requête peut viser un contenu par son identifiant numérique.
Impact, versions et correctif
Action recommandée
Mettre à jour le plugin dès qu’une version corrigée est disponible ; dans l’intervalle, limiter l’accès au plugin et surveiller les requêtes visant des contenus non publiés.
Sources
Priorisation DFS : P4 · 1 source(s).