Veille sécuritéCMS & e-commerce
P3Élevée
Post Duplicator avant la version 3.0.18 ne limite pas l’enregistrement de ses réglages à ses propres options. Dans un réseau multisite, un administrateur de site qui n’est pas super-administrateur pourrait modifier des options arbitraires de son site, notamment des rôles, et tenter d’obtenir des capacités étendues ; mettre à jour au moins vers 3.0.18.
WordPress
IdentifiantCVE-2026-121874
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif3.0.18
Source : NVD — CVE-2026-121874
Analyse technique
Enregistrement de réglages sans restriction suffisante aux options propres au plugin, dans un contexte multisite.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-09 à 07:17:28.930 UTC, soit 09:17:28.930+02:00, dans la période demandée. Sa mise à jour du 2026-11-10 est postérieure à la borne de fin et n’est pas retenue comme événement.
ImpactModification non autorisée d’options du site et possible élévation de privilèges dans un réseau multisite.
Versions affectéesPost Duplicator avant 3.0.18
Version corrigée3.0.18
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
EPSS0,13% · percentile 2,8%
Publication2026-11-09T09:17:28.930+02:00
Action recommandée
Mettre à jour vers la version 3.0.18 ou ultérieure et examiner les options et rôles du site multisite.
Sources
Priorisation DFS : P3 · 1 source(s).