Veille sécuritéCMS & e-commerce
P4Moyenne
aBlocks exposait le contenu complet rendu de publications protégées par mot de passe via un shortcode utilisant l’identifiant de la publication. Les versions jusqu’à 2.18.0 inclus sont concernées ; la source indique qu’un utilisateur authentifié de niveau contributeur ou supérieur peut extraire ce contenu, et qu’un utilisateur de niveau auteur ou supérieur peut aussi le rendre accessible aux visiteurs non authentifiés.
WordPress
IdentifiantCVE-2026-118801
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-118801
Analyse technique
Le paramètre id du shortcode permet d’obtenir le corps rendu d’une publication protégée par mot de passe, quel que soit son type.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-07, dans la période demandée. La mise à jour indiquée par NVD est postérieure à la période et n’est pas retenue.
ImpactDes utilisateurs authentifiés peuvent consulter le contenu de publications protégées ; les auteurs ou utilisateurs de niveau supérieur peuvent l’exposer à des visiteurs non authentifiés.
Versions affectéesToutes les versions jusqu’à 2.18.0 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.3
EPSS0,22% · percentile 12,8%
Publication2026-11-07T09:17:03+02:00
Action recommandée
Vérifier auprès de l’éditeur la disponibilité d’un correctif et mettre le plugin à jour dès qu’il est proposé.
Sources
Priorisation DFS : P4 · 1 source(s).