Veille sécuritéCMS & e-commerce
P4Moyenne
ProfilePress, avant la version 4.17.6, ne rejette pas certains identifiants négatifs de plans d’adhésion lors de la vérification de leur activation. Un visiteur non authentifié peut s’inscrire à un plan désactivé et recevoir le rôle associé ; mettre à jour le plugin vers la version 4.17.6 ou ultérieure.
WordPress
IdentifiantCVE-2026-123657
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif4.17.6
Source : NVD — CVE-2026-123657
Analyse technique
Les identifiants négatifs de plan ne sont pas rejetés avant la vérification d’activation, ce qui contourne le statut désactivé de certains plans.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-11T06:17:17.950Z, dans la période demandée. Sa mise à jour du 2026-11-12 est postérieure à la borne de fin et n’est pas retenue comme événement.
ImpactUn visiteur non authentifié peut obtenir le rôle associé à un plan désactivé.
Versions affectéesVersions antérieures à 4.17.6
Version corrigée4.17.6
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
EPSS0,17% · percentile 6,3%
Publication2026-11-11T06:17:17.950Z
Mise à jour2026-11-11T06:17:17.950Z
Action recommandée
Mettre à jour ProfilePress vers la version 4.17.6 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).