Contournement des restrictions d’écriture dans WP Data Access

Veille sécuritéCMS & e-commerce

P3Élevée

CVE-2026-118267 est une faille d’autorisation dans WP Data Access, versions jusqu’à 5.5.89 incluses, permettant d’écrire hors des restrictions de lignes et de colonnes configurées. Selon la configuration des Data Apps, un attaquant authentifié dès le rôle d’abonné, voire anonyme, peut modifier des données sensibles et aboutir à une prise de contrôle du site; aucun correctif n’est indiqué dans les données fournies.

IdentifiantCVE-2026-118267

GravitéÉlevée

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-118267

Analyse technique

Les points d’accès d’écriture ne respectent pas les filtres de lignes ni la liste des colonnes autorisées appliqués aux lectures. L’accès anonyme nécessite une Data App publiée avec autorisation anonymous et des transactions d’écriture activées.

Impact, versions et correctif

Événement datéPublication NVD horodatée le 2026-11-07T12:17:43.867Z, dans la période demandée; les détails décrivent une vulnérabilité d’autorisation avec impact substantiel, et non une simple modification administrative.

ImpactModification non autorisée de données, pouvant inclure le mot de passe d’un administrateur et conduire à une prise de contrôle complète.

Versions affectéesJusqu’à 5.5.89 incluse

ContournementDésactiver ou restreindre les Data Apps publiées qui autorisent des opérations d’écriture, en particulier celles accessibles anonymement.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS8.1

Publication2026-11-07T12:17:43.867Z

Mise à jour2026-11-07T19:17:18.410Z

Action recommandée

Désactiver les écritures des Data Apps exposées aux utilisateurs non fiables et mettre à jour vers une version corrigée dès qu’elle est disponible.

Sources

NVD — CVE-2026-118267

Priorisation DFS : P3 · 1 source(s).