TinyMCE Thumbnail Gallery : traversée de répertoires et lecture de fichiers

Veille sécuritéCMS & e-commerce

P2Élevée

TinyMCE Thumbnail Gallery contient une traversée de répertoires dans les versions antérieures à 1.1.0, susceptible de permettre la lecture de fichiers arbitraires sans authentification. La fiche CVE a été publiée le 2026-10-20 ; l’exploitation mentionnée dans l’avis remonte à 2023-10-19 et ne constitue pas une observation nouvelle dans la période.

IdentifiantCVE-2012-20002

GravitéÉlevée

Exploitationrapportée, à confirmer

Correctif1.1.0

Source : NVD — CVE-2012-20002

Analyse technique

La faille concerne le paramètre `href` de `download-image.php` et peut exposer des fichiers sensibles, notamment la configuration WordPress.

Impact, versions et correctif

Événement datéPublication de la fiche NVD le 2026-10-20. La mention d’une exploitation observée en 2023 est antérieure à la période et n’est pas présentée comme un événement nouveau de cette journée.

ImpactUn attaquant non authentifié peut lire des fichiers arbitraires, potentiellement des fichiers contenant des secrets.

Versions affectéesVersions antérieures à 1.1.0

Version corrigée1.1.0

Exploitation activerapportée, à confirmer

PoC publicinconnu

CVSS8.7

Publication2026-10-20T21:17:10.613Z

Mise à jour2026-10-20T21:17:10.613Z

Détection / vérification

L’exploitation aurait été observée par Shadowserver le 2023-10-19, selon les informations du candidat.

Action recommandée

Mettre à jour vers la version 1.1.0 ou ultérieure ; si aucune mise à jour n’est disponible, désactiver et retirer le plugin.

Sources

NVD — CVE-2012-20002

Priorisation DFS : P2 · 1 source(s).