Injection SQL dans WP Backup and Migration

Veille sécuritéCMS & e-commerce

P4Moyenne

WebToffee WP Backup and Migration jusqu’à la version 1.6.1 comporte une injection SQL via le paramètre description, exploitable par un utilisateur authentifié à partir du rôle Subscriber. L’exploitation dépend toutefois d’une action ultérieure d’un administrateur qui effectue l’opération habituelle d’export puis de restauration de base de données sur le site.

IdentifiantCVE-2026-120530

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-120530

Analyse technique

Échappement insuffisant du paramètre utilisateur et préparation insuffisante de la requête SQL; une exploitation réussie peut permettre l’extraction d’informations de la base. Score CVSS indiqué : 5.7; vecteur non fourni.

Impact, versions et correctif

Événement datéFiche NVD publiée le 2026-11-07, dans la période; la mise à jour ultérieure du 2026-11-08 est postérieure à la borne et n’est pas retenue comme événement.

ImpactExtraction possible de données de la base si les conditions d’exploitation sont réunies.

Versions affectéesToutes les versions jusqu’à 1.6.1 incluse

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS5.7

EPSS0,24% · percentile 15,6%

Publication2026-11-07T07:17:03.893Z

Mise à jour2026-11-08T19:17:35.670Z

Action recommandée

Mettre à jour vers une version corrigée lorsqu’elle est disponible et examiner les opérations d’export/restauration effectuées par les administrateurs.

Sources

NVD — CVE-2026-120530

Priorisation DFS : P4 · 1 source(s).