Veille sécuritéCMS & e-commerce
P4Non déterminée
Deux actions AJAX d’Essential Real Estate ne vérifient pas l’autorisation de l’appelant ni le statut de publication des annonces. Des utilisateurs non authentifiés peuvent récupérer les images attachées à des annonces non publiées ; mettre à jour vers la version 5.3.5 ou ultérieure.
WordPress
IdentifiantCVE-2026-90965
GravitéNon déterminée
Exploitationnon connue / non déterminée
Correctif5.3.5
Source : NVD — CVE-2026-90965
Analyse technique
Les contrôles manquants dans deux actions AJAX exposent les images associées aux annonces dont la publication est en attente.
Impact, versions et correctif
Événement datéFiche publiée par le NVD le 2026-11-05T06:17:09.977Z, soit le 2026-11-05 à 08:17:09.977+02:00, dans la période demandée.
ImpactDivulgation non authentifiée d’images attachées à des annonces non publiées.
Versions affectéesVersions antérieures à 5.3.5
Version corrigée5.3.5
Exploitation activenon connue / non déterminée
PoC publicinconnu
EPSS0,14% · percentile 3,1%
Publication2026-11-05T06:17:09.977Z
Mise à jour2026-11-05T15:06:27.350Z
Action recommandée
Mettre à jour Essential Real Estate vers la version 5.3.5 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).