Veille sécuritéCMS & e-commerce
P4Non déterminée
La faille permet à un client inscrit d’activer sans paiement un forfait payant, car une action AJAX ne vérifie pas que le forfait est gratuit ni que l’utilisateur y a droit. Les versions d’Essential Real Estate antérieures à 5.3.5 sont concernées.
WordPress
IdentifiantCVE-2026-90966
GravitéNon déterminée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-90966
Analyse technique
Une action AJAX ne vérifie pas l’éligibilité du forfait à l’activation gratuite; l’opération peut aussi enregistrer une facture au prix complet du forfait.
Impact, versions et correctif
Événement datéNouvelle fiche CVE publiée par la NVD le 2026-11-05, dans la période demandée.
ImpactActivation sans paiement d’un forfait payant et création possible d’une facture associée.
Versions affectéesEssential Real Estate avant 5.3.5
Exploitation activenon connue / non déterminée
PoC publicinconnu
EPSS0,13% · percentile 2,8%
Publication2026-11-05T06:17:10.087Z
Mise à jour2026-11-05T15:06:27.350Z
Action recommandée
Mettre à jour Essential Real Estate vers la version 5.3.5 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).