Veille sécuritéCMS & e-commerce
P3Élevée
Contest Gallery avant 34.0.3 ne nettoie pas les noms de fichiers téléversés via la fonction de remplacement de fichiers de vente. Un utilisateur disposant au moins des droits d’auteur peut écrire des fichiers d’extension arbitraire dans un répertoire accessible sur le Web et, en écrasant le fichier de protection, parvenir à une exécution de code à distance; mettre à jour vers la version 34.0.3 ou ultérieure.
WordPress
IdentifiantCVE-2026-118041
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-118041
Analyse technique
La fonction de remplacement de fichier accepte des noms non assainis; l’écrasement du fichier de protection du répertoire peut conduire à l’exécution de code à distance.
Impact, versions et correctif
Événement datéFiche NVD publiée le 2026-11-11T06:17:14.767Z, dans la période demandée. La mise à jour ultérieure de la fiche, datée du 2026-11-12, n’est pas traitée comme un événement de la période.
ImpactUn utilisateur ayant au moins le rôle Auteur peut écrire des fichiers arbitraires dans un emplacement web accessible et potentiellement exécuter du code à distance.
Versions affectéesContest Gallery avant 34.0.3
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.8
EPSS0,28% · percentile 20,9%
Publication2026-11-11T06:17:14.767Z
Action recommandée
Mettre à jour le plugin vers la version 34.0.3 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).