Veille sécuritéCMS & e-commerce
P4Faible
Smush avant 4.3.6 ne vérifie pas que l’utilisateur est autorisé à agir sur la pièce jointe ciblée, et se contente d’un contrôle général de capacité d’envoi de fichiers. Un utilisateur ayant au moins le rôle Auteur peut optimiser et restaurer des médias appartenant à d’autres utilisateurs, en modifiant les fichiers sur disque et en consommant leur sauvegarde; mettre à jour vers la version 4.3.6 ou ultérieure.
WordPress
IdentifiantCVE-2026-118241
GravitéFaible
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-118241
Analyse technique
L’autorisation porte sur une capacité générale de téléversement et non sur les droits concernant la pièce jointe ciblée.
Impact, versions et correctif
Événement datéFiche NVD publiée le 2026-11-11T06:17:14.900Z, dans la période demandée. La mise à jour ultérieure de la fiche, datée du 2026-11-12, n’est pas traitée comme un événement de la période.
ImpactLes médias d’autres utilisateurs peuvent être modifiés sur disque et leurs sauvegardes consommées.
Versions affectéesSmush avant 4.3.6
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS2.7
EPSS0,18% · percentile 7,8%
Publication2026-11-11T06:17:14.900Z
Action recommandée
Mettre à jour le plugin vers la version 4.3.6 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).