Injection SQL dans le plugin Newsletters - developpeur-full-stack.fr

Veille sécuritéCMS & e-commerce

P4Moyenne

Le plugin Newsletters présente une injection SQL dans le paramètre id dans toutes les versions jusqu’à 4.18.1 incluse. Un attaquant authentifié, y compris via le mécanisme d’abonnement décrit dans la source, peut extraire des informations de la base ; aucun correctif n’est indiqué dans la source fournie.

IdentifiantCVE-2026-101325

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-101325

Analyse technique

La valeur fournie n’est pas suffisamment échappée et la requête SQL n’est pas préparée de façon adéquate. La description indique qu’un accès au nonce et au cookie d’authentification d’abonné peut être obtenu par le parcours public d’abonnement.

Impact, versions et correctif

Événement datéFiche NVD publiée le 31 octobre 2026 à 09:16:32Z, soit dans la période demandée ; la mise à jour du 2 novembre est hors période et n’est pas retenue.

ImpactExtraction possible d’informations sensibles depuis la base de données.

Versions affectéesToutes les versions jusqu’à 4.18.1 incluse

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS5.3

EPSS0,25% · percentile 17,1%

Publication2026-10-31T11:16:32.323+02:00

Action recommandée

Appliquer une version corrigée dès qu’elle est disponible ; la source fournie ne précise pas de correctif. Vérifier les accès et les données potentiellement exposées.

Sources

NVD — CVE-2026-101325

Priorisation DFS : P4 · 1 source(s).