Advanced Form Integration : injection d’objets PHP

Veille sécuritéCMS & e-commerce

P3Élevée

La fiche NVD publiée le 2026-11-07 signale une injection d’objets PHP dans Advanced Form Integration jusqu’à la version 2.10.2 incluse. Elle peut devenir plus grave si un autre composant du site fournit une chaîne POP; mettez à jour dès qu’un correctif est disponible et vérifiez les intégrations NexForms actives.

IdentifiantCVE-2026-104738

GravitéÉlevée

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-104738

Analyse technique

Injection PHP Object Injection non authentifiée par désérialisation d’entrée non fiable. L’exploitation requiert une intégration NexForms active préalablement configurée; sans chaîne POP dans un autre plugin ou thème, aucun impact n’est établi.

Impact, versions et correctif

Événement datéPublication NVD horodatée dans la période demandée; la mise à jour du 2026-11-08 est postérieure à la borne de fin et n’est pas retenue.

ImpactInjection d’objet PHP; en présence d’une chaîne POP fournie par un autre composant, cela peut permettre notamment la suppression de fichiers, l’accès à des données ou l’exécution de code.

Versions affectéesToutes les versions jusqu’à 2.10.2 incluse

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS8.1

EPSS0,45% · percentile 39,1%

Publication2026-11-07T09:17:11.253Z

Action recommandée

Mettre à jour vers une version corrigée dès sa disponibilité; examiner et désactiver les intégrations NexForms actives non nécessaires.

Sources

NVD — CVE-2026-104738

Priorisation DFS : P3 · 1 source(s).