Veille sécuritéCMS & e-commerce
P4Faible
La synchronisation bidirectionnelle des relations dans Advanced Custom Fields (ACF) pouvait permettre à un utilisateur ayant le rôle contributeur ou supérieur d’ajouter ou retirer une référence sur des contenus, utilisateurs ou termes qu’il ne pouvait pas modifier. Le défaut concerne les versions antérieures à 6.8.11 ; mettre ACF à jour vers cette version ou une version ultérieure.
WordPress
IdentifiantCVE-2026-97190
GravitéFaible
Exploitationnon connue / non déterminée
Correctif6.8.11
Source : NVD — CVE-2026-97190
Analyse technique
Le contrôle des droits de modification du contenu cible n’était pas effectué avant l’écriture lors de la synchronisation des relations bidirectionnelles.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-07, dans la période demandée.
ImpactDes utilisateurs ayant le rôle contributeur ou supérieur peuvent modifier des références sur des objets qu’ils ne sont pas autorisés à éditer.
Versions affectéesVersions antérieures à 6.8.11
Version corrigée6.8.11
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS2.7
EPSS0,13% · percentile 2,8%
Publication2026-11-07T08:16:59+02:00
Mise à jour2026-11-07T21:17:29+02:00
Action recommandée
Mettre ACF à jour vers la version 6.8.11 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).