Veille sécuritéCMS & e-commerce
P3Critique
AskAny antérieur à 2.2.0 fait confiance au type de fichier déclaré par le navigateur et ne valide ni l’extension ni le contenu des pièces jointes aux messages. Si les pièces jointes des visiteurs sont activées, un utilisateur non authentifié peut téléverser un fichier PHP et exécuter du code.
WordPress
IdentifiantCVE-2026-121497
GravitéCritique
Exploitationnon connue / non déterminée
Correctif2.2.0
Source : NVD — CVE-2026-121497
Analyse technique
La possibilité d’exécution de code est signalée lorsque le téléversement des pièces jointes par les visiteurs est activé.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-11, à l’intérieur de la période demandée. Sa mise à jour ultérieure, le 2026-11-12, n’est pas retenue comme événement de la période.
ImpactExécution de code arbitraire sur le serveur dans la configuration vulnérable décrite.
Versions affectéesVersions antérieures à 2.2.0
Version corrigée2.2.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.8
EPSS0,22% · percentile 12,9%
Publication2026-11-11T06:17:16.570Z
Mise à jour2026-11-12T18:49:18.840Z
Action recommandée
Mettre à jour AskAny vers la version 2.2.0 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).