Veille sécuritéCMS & e-commerce
P3Critique
Le plugin placester jusqu’à la version 1.4.3 ne vérifie ni les droits, ni le nonce, ni la propriété du compte lors d’une action AJAX de modification des coordonnées. Un attaquant non authentifié peut changer l’adresse e-mail d’un utilisateur, y compris celle d’un administrateur, et tenter une prise de contrôle via la procédure normale de réinitialisation du mot de passe ; la fiche NVD ne précise pas de version corrigée.
WordPress
IdentifiantCVE-2026-113584
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-113584
Analyse technique
Action AJAX de modification des coordonnées sans contrôle de capacité, de nonce ou de propriété du compte.
Impact, versions et correctif
Événement datéNouvelle fiche NVD publiée le 2026-11-06, dans la période demandée.
ImpactChangement de l’adresse e-mail d’un compte, pouvant conduire à la prise de contrôle d’un compte administrateur.
Versions affectéesJusqu’à la version 1.4.3 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.8
EPSS0,19% · percentile 8,3%
Publication2026-11-06T06:16:39.943Z
Mise à jour2026-11-06T20:09:13.780Z
Action recommandée
Mettre à jour le plugin si un correctif est publié ; à défaut, désactiver le plugin.
Sources
Priorisation DFS : P3 · 1 source(s).