Veille sécuritéCMS & e-commerce
P4Non déterminée
WP Event Manager ne vérifie pas la propriété ni le type d’un article à partir d’un identifiant fourni dans le flux de soumission d’événements. Un attaquant non authentifié peut lire et écraser le contenu de publications ou pages non publiées et les convertir en événements ; mettre à jour vers la version 3.4.2 ou ultérieure.
WordPress
IdentifiantCVE-2026-86442
GravitéNon déterminée
Exploitationnon connue / non déterminée
Correctif3.4.2
Source : NVD — CVE-2026-86442
Analyse technique
Le flux frontal de soumission d’événements accepte un identifiant de publication sans contrôler la propriété ou le type de contenu.
Impact, versions et correctif
Événement datéFiche publiée par le NVD le 2026-11-05T06:17:09.057Z, soit le 2026-11-05 à 08:17:09.057+02:00, dans la période demandée.
ImpactLecture et écrasement de contenus non publiés, avec possibilité de les convertir en événements.
Versions affectéesVersions antérieures à 3.4.2
Version corrigée3.4.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
EPSS0,14% · percentile 3,1%
Publication2026-11-05T06:17:09.057Z
Mise à jour2026-11-05T15:06:27.350Z
Action recommandée
Mettre à jour WP Event Manager vers la version 3.4.2 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).