CVE-2026-104913 : téléversement arbitraire de fichiers dans Interactive Real Estate

Veille sécuritéCMS & e-commerce

P3Élevée

Interactive Real Estate – Floor Plan & Building Visualizer est affecté par une vulnérabilité de téléversement de fichiers jusqu’à la version 2.6.0. Elle peut permettre à un utilisateur authentifié de téléverser des fichiers exécutables lorsque la licence Premium ou d’essai Freemius est active ; mettre à jour le plugin dès qu’un correctif est disponible.

IdentifiantCVE-2026-104913

GravitéÉlevée

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-104913

Analyse technique

La fonction extract_zip_data ne vérifie pas les capacités, le nonce ni l’extension ou le type MIME des fichiers avant leur copie dans le répertoire des téléversements. L’exploitation nécessite une licence Premium ou d’essai Freemius active.

Impact, versions et correctif

Événement datéRetenue comme nouvelle publication : la fiche NVD indique une publication le 2026-11-07, dans la période demandée, même si le candidat est classé parmi les mises à jour NVD.

ImpactLe téléversement de fichiers potentiellement exécutables peut conduire à une exécution de code à distance.

Versions affectéesJusqu’à la version 2.6.0 incluse.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS8.8

EPSS0,52% · percentile 44,1%

Publication2026-11-07T03:16:59.167Z

Mise à jour2026-11-07T19:17:17.623Z

Action recommandée

Mettre à jour le plugin dès qu’une version corrigée est disponible ; vérifier si une licence Premium ou d’essai est active.

Sources

NVD — CVE-2026-104913

Priorisation DFS : P3 · 1 source(s).