QA Assistants jusqu’à la version 5.3.0 présente une désérialisation PHP non sûre accessible sans authentification, susceptible de conduire à une écriture arbitraire de fichier et à une exécution de code à distance. Le déclenchement dépend du traitement planifié d’un fichier de file d’attente par l’événement wp-cron du plugin.
Source : NVD — CVE-2026-87112
Analyse technique
Désérialisation sans restriction de classes et validation insuffisante de séquences de traversée de chemin; la dépendance Guzzle FileCookieJar incluse peut servir à une écriture de fichier. Score CVSS indiqué : 8.8; vecteur non fourni.
Impact, versions et correctif
Action recommandée
Mettre à jour vers une version corrigée lorsqu’elle est disponible; examiner la présence et le traitement des fichiers de file d’attente concernés.
Sources
Priorisation DFS : P3 · 1 source(s).