Dans Secure Custom Fields, l’absence de contrôle de permission de lecture sur les champs relationnels peut révéler à des utilisateurs ayant accès à la modification de publications les titres et statuts non publics de publications non publiées. La vulnérabilité concerne les versions antérieures à 6.9.8 ; mettez le plugin à jour vers cette version ou une version ultérieure.
Source : NVD — CVE-2026-97194
Analyse technique
Le plugin ne vérifie pas les permissions de lecture lors du rendu et du formatage des valeurs des champs relationnels. L’accès à la modification de publications, notamment pour les contributeurs et rôles supérieurs, peut permettre la divulgation des titres et statuts non publics d’autres publications non publiées.
Impact, versions et correctif
Action recommandée
Mettre à jour Secure Custom Fields vers la version 6.9.8 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).