Veille sécuritéCMS & e-commerce
P3Critique
Une absence de vérification des capacités et du nonce permet à des utilisateurs non authentifiés de modifier les réglages de Confection WordPress Cable. Les versions 0.4.0 à 0.4.7 peuvent ainsi permettre l’exécution de code PHP arbitraire sur le serveur ; aucun correctif n’est mentionné dans les informations fournies.
WordPress
IdentifiantCVE-2026-115252
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-115252
Analyse technique
Un réglage est écrit sans modification dans un fichier PHP autonome ensuite servi par l’application.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-09 à 13:17:21 +02:00, dans la période demandée. Sa mise à jour ultérieure est postérieure à la période et n’est pas retenue comme événement.
ImpactExécution possible de code PHP arbitraire sur le serveur par un utilisateur non authentifié.
Versions affectéesConfection WordPress Cable 0.4.0 à 0.4.7.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS10
Publication2026-11-09T13:17:21.143+02:00
Mise à jour2026-11-09T13:17:21.143+02:00
Action recommandée
Désactiver l’extension jusqu’à la disponibilité d’un correctif, puis installer une version corrigée.
Sources
Priorisation DFS : P3 · 1 source(s).