Veille sécuritéCMS & e-commerce
P4Moyenne
GamiPress jusqu’à la version 8.1.1 comporte une injection SQL liée aux champs d’une soumission Gravity Forms, accessible à des utilisateurs authentifiés à partir du rôle Subscriber. L’exploitation requiert un succès GamiPress configuré pour un événement de soumission de valeur de champ Gravity Forms et le formulaire correspondant publié.
WordPress
IdentifiantCVE-2026-121792
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-121792
Analyse technique
Échappement insuffisant d’une valeur de champ transmise à une requête SQL insuffisamment préparée; l’exploitation peut permettre l’extraction de données. Score CVSS indiqué : 6.5; vecteur non fourni.
Impact, versions et correctif
Événement datéFiche NVD publiée le 2026-11-07, dans la période; la mise à jour ultérieure du 2026-11-08 est postérieure à la borne et n’est pas retenue comme événement.
ImpactExtraction possible de données de la base dans les configurations concernées.
Versions affectéesToutes les versions jusqu’à 8.1.1 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.5
EPSS0,28% · percentile 20,7%
Publication2026-11-07T07:17:04.370Z
Mise à jour2026-11-08T19:17:37.313Z
Action recommandée
Mettre à jour vers une version corrigée lorsqu’elle est disponible et vérifier les intégrations GamiPress–Gravity Forms configurées.
Sources
Priorisation DFS : P4 · 1 source(s).