Veille sécuritéCMS & e-commerce
P3Élevée
CVE-2026-103479 est une élévation de privilèges dans Pubjet : un utilisateur authentifié peut remplacer le jeton API stocké par le plugin, puis accéder à des opérations normalement réservées. Toutes les versions jusqu’à 5.4.8 incluse sont concernées ; aucun correctif n’est précisé dans les données fournies.
WordPress
IdentifiantCVE-2026-103479
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-103479
Analyse technique
Le gestionnaire checkToken() ne vérifie ni les capacités ni le nonce avant d’écrire le jeton fourni dans l’option pubjet_settings.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication initiale le 2026-11-06 ; cette divulgation est dans la période demandée, indépendamment de ses modifications administratives.
ImpactCréation, modification ou suppression de contenus reportage et manipulation de l’état du plugin via les API Pubjet.
Versions affectéesToutes les versions jusqu’à 5.4.8 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.6
Publication2026-11-06T12:17:15.440Z
Mise à jour2026-11-06T18:17:38.390Z
Détection / vérification
Un compte authentifié disposant au moins du rôle abonné est requis.
Action recommandée
Mettre à jour le plugin dès qu’un correctif est disponible et limiter les comptes de faible privilège.
Sources
Priorisation DFS : P3 · 1 source(s).