Accès et suppression non autorisés d’entrées dans Everest Forms

Veille sécuritéCMS & e-commerce

P4Moyenne

Everest Forms jusqu’à la version 3.6.2 incluse présente une référence directe non sécurisée permettant à un utilisateur authentifié disposant d’un accès personnalisé ou supérieur de consulter et supprimer des formulaires et entrées appartenant à d’autres utilisateurs. Mettre à jour dès qu’un correctif est disponible et limiter strictement les rôles disposant de cet accès.

IdentifiantCVE-2026-89101

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-89101

Analyse technique

La méthode get_entry ne valide pas correctement une clé contrôlée par l’utilisateur. Les données accessibles peuvent inclure des renseignements personnels soumis via des formulaires publics.

Impact, versions et correctif

Événement datéLa fiche NVD indique une première publication le 2026-11-06, dans la période retenue; il s’agit d’une vulnérabilité nouvellement publiée, et non d’une simple modification administrative.

ImpactUn utilisateur authentifié disposant des privilèges requis peut lire et supprimer des entrées et formulaires appartenant à d’autres utilisateurs, y compris des données personnelles.

Versions affectéesToutes les versions jusqu’à 3.6.2 incluse

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS6.5

Publication2026-11-06T12:17:24.477Z

Mise à jour2026-11-06T16:18:59.623Z

Action recommandée

Mettre à jour Everest Forms dès qu’un correctif est disponible et restreindre les privilèges personnalisés aux utilisateurs de confiance.

Sources

NVD — CVE-2026-89101

Priorisation DFS : P4 · 1 source(s).