Veille sécuritéCMS & e-commerce
P4Moyenne
Jeg Elementor Kit présente un défaut de contrôle d’accès permettant à des utilisateurs authentifiés disposant au moins du rôle Abonné d’énumérer les comptes du site et de rechercher des adresses électroniques. Les versions jusqu’à 3.2.19 inclus sont concernées ; aucun correctif n’est indiqué dans les données fournies.
WordPress
IdentifiantCVE-2026-103907
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-103907
Analyse technique
Les actions AJAX jkit_post_block et jeg_find_author ne vérifient pas correctement les capacités. La recherche d’auteurs peut servir à énumérer les utilisateurs et à retrouver des adresses électroniques par fragments.
Impact, versions et correctif
Événement datéPublication de la fiche NVD pendant la période : 2026-10-14T08:17:02.847Z. La date de publication, et non la mise à jour ultérieure de la fiche, est l’événement retenu.
ImpactUn utilisateur authentifié de niveau Abonné ou supérieur peut énumérer les utilisateurs du site et reconstituer des adresses électroniques.
Versions affectéesToutes les versions jusqu’à 3.2.19 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.5
EPSS0,31% · percentile 22,4%
Publication2026-10-14T08:17:02.847Z
Mise à jour2026-10-14T18:17:21.283Z
Action recommandée
Mettre à jour le plugin dès qu’une version corrigée est disponible et limiter les comptes authentifiés non indispensables.
Sources
Priorisation DFS : P4 · 1 source(s).