Veille sécuritéCMS & e-commerce
P4Moyenne
Un utilisateur authentifié disposant au moins du rôle Subscriber peut supprimer des pièces jointes arbitraires de la médiathèque et leurs fichiers, y compris des médias déposés par des administrateurs. Directorist est concerné avant la version 8.11 ; mettez le plugin à jour vers la version 8.11 ou ultérieure.
WordPress
IdentifiantCVE-2026-118532
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif8.11
Source : NVD — CVE-2026-118532
Analyse technique
Lors de la mise à jour des images d’une fiche, le plugin ne vérifie pas que les identifiants de pièces jointes fournis appartiennent à l’utilisateur.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-07 et une mise à jour le même jour ; l’événement retenu est la publication de la vulnérabilité dans la période demandée.
ImpactSuppression définitive de pièces jointes arbitraires de la médiathèque, fichiers associés compris.
Versions affectéesDirectorist avant 8.11
Version corrigée8.11
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.5
EPSS0,15% · percentile 4,2%
Publication2026-11-07T06:16:57.587Z
Mise à jour2026-11-07T19:17:19.013Z
Action recommandée
Mettre à jour Directorist vers la version 8.11 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).