Veille sécuritéCMS & e-commerce
P3Élevée
Le plugin AZEXO Store Locator jusqu’à la version 1.4 ne vérifie pas correctement les droits ni le nonce de ses actions AJAX et utilise un en-tête non assaini pour construire un chemin de fichier. Un utilisateur authentifié peu privilégié peut ainsi écrire un fichier arbitraire, avec un risque d’exécution de code ; mettre à jour vers une version corrigée dès qu’elle est disponible.
WordPress
IdentifiantCVE-2026-115204
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-115204
Analyse technique
Absence de contrôles de capacité et de nonce sur des actions AJAX, et construction de chemin à partir d’un en-tête non assaini.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-09 à 07:17:27.353 UTC, soit 09:17:27.353+02:00, dans la période demandée. Sa mise à jour du 2026-11-10 est postérieure à la borne de fin et n’est pas retenue comme événement.
ImpactÉcriture de fichiers arbitraires pouvant permettre l’exécution de code à distance.
Versions affectéesAZEXO Store Locator jusqu’à 1.4 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.8
EPSS0,19% · percentile 8,9%
Publication2026-11-09T09:17:27.353+02:00
Action recommandée
Mettre à jour le plugin dès qu’une version corrigée est publiée ; à défaut, désactiver le plugin et limiter les comptes authentifiés.
Sources
Priorisation DFS : P3 · 1 source(s).