Jupiter X Core : contournement d’autorisation et exposition de contenus

Veille sécuritéCMS & e-commerce

P4Moyenne

CVE-2026-120737 permet à des attaquants non authentifiés d’énumérer et d’afficher certains types de contenus publiés, notamment des dossiers de soumission Flamingo, ainsi que d’interroger des métadonnées. L’exploitation dépend de la configuration d’un widget Posts ou Advanced Posts avec « Is Archive Template » activé ; aucun correctif ni contournement n’est indiqué dans les données fournies.

IdentifiantCVE-2026-120737

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-120737

Analyse technique

Vérification d’autorisation insuffisante sur des actions liées aux widgets ; le nonce exposé publiquement ne constitue pas une barrière d’autorisation efficace.

Impact, versions et correctif

Événement datéFiche NVD publiée le 2026-11-07T03:17:04.327Z, dans la période demandée ; la date de publication est retenue comme événement.

ImpactDivulgation de contenus publiés non destinés à l’énumération publique et de métadonnées.

Versions affectéesJupiter X Core jusqu’à la version 4.62.0 incluse

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS5.9

EPSS0,30% · percentile 22,6%

Publication2026-11-07T03:17:04.327Z

Mise à jour2026-11-08T19:17:36.930Z

Action recommandée

Vérifier l’usage de Jupiter X Core et la configuration des widgets concernés ; appliquer un correctif éditeur lorsqu’il sera disponible.

Sources

NVD — CVE-2026-120737

Priorisation DFS : P4 · 1 source(s).