Veille sécuritéCMS & e-commerce
P3Élevée
Le plugin 10Web Booster présente une traversée de chemin permettant l’écriture limitée d’un fichier de cache hors du répertoire prévu. La charge écrite est le contenu rendu d’une page et le nom du fichier est fixé à source.html; la description précise que cette faille ne permet pas l’écriture de fichiers PHP ni l’exécution de code.
WordPress
IdentifiantCVE-2026-103896
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-103896
Analyse technique
Des paramètres de requête non assainis sont concaténés dans un chemin de cache utilisé par mkdir() et file_put_contents(), sans vérification de confinement par realpath().
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-16, dans la période demandée; l’information retenue est la vulnérabilité décrite, et non la seule date de modification de la fiche.
ImpactCréation de répertoires hors du répertoire de cache et empoisonnement de cache; l’exécution de code n’est pas indiquée comme possible.
Versions affectéesToutes les versions jusqu’à 2.34.5 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
EPSS0,46% · percentile 38,8%
Publication2026-10-16T06:17:03.417Z
Mise à jour2026-10-16T15:17:02.663Z
Action recommandée
Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible; examiner les répertoires accessibles en écriture et les caches générés.
Sources
Priorisation DFS : P3 · 1 source(s).