Veille sécuritéCMS & e-commerce
P3Élevée
CVE-2026-121866 concerne iLeads SMS Gateway by Exsile : avant la version 2.0.0, plusieurs actions AJAX ne vérifiaient ni les capacités ni les nonces avant de modifier une option WordPress désignée par la requête. Tout utilisateur authentifié pouvait changer des options et élever ses privilèges, par exemple en activant les inscriptions avec le rôle administrateur par défaut ; mettre à jour vers la version 2.0.0 ou ultérieure.
WordPress
IdentifiantCVE-2026-121866
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif2.0.0
Source : NVD — CVE-2026-121866
Analyse technique
Des actions AJAX permettaient de modifier des options arbitraires sans contrôle de capacités ni nonce.
Impact, versions et correctif
Événement datéPublication de la fiche NVD le 2026-11-07, dans la période demandée.
ImpactModification d’options WordPress et élévation possible jusqu’au rôle administrateur.
Versions affectéesiLeads SMS Gateway by Exsile versions antérieures à 2.0.0
Version corrigée2.0.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.8
EPSS0,13% · percentile 2,8%
Publication2026-11-07T06:16:58.960Z
Mise à jour2026-11-07T19:17:25.257Z
Action recommandée
Mettre à jour iLeads SMS Gateway by Exsile vers la version 2.0.0 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).