Veille sécuritéCMS & e-commerce
P4Faible
weMail vérifie incorrectement les capacités dans ses contrôles d’accès à l’API REST et peut autoriser des utilisateurs dont le rôle figure dans sa liste de rôles autorisés à effectuer des actions réservées à l’administration. Selon la configuration par défaut décrite, un utilisateur Editor ou supérieur peut notamment énumérer les comptes et leurs adresses e-mail, ou modifier les contrôles d’accès de weMail.
WordPress
IdentifiantCVE-2026-104647
GravitéFaible
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-104647
Analyse technique
Le contrôle traite l’appartenance à une liste de rôles autorisés comme une autorisation générale pour chaque action, au lieu de vérifier la capacité requise.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-03, dans la période demandée; sa mise à jour ultérieure du 2026-11-04 est hors période et n’est pas retenue comme événement.
ImpactDes utilisateurs autorisés par rôle peuvent accéder à des actions d’administration et à des informations sur les comptes.
Versions affectéesToutes les versions jusqu’à 2.1.6 inclusivement.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS3.8
EPSS0,13% · percentile 2,8%
Publication2026-11-03T06:17:37.123Z
Mise à jour2026-11-04T15:17:23.367Z
Action recommandée
Vérifier la version du plugin et appliquer un correctif éditeur lorsqu’il est disponible.
Sources
Priorisation DFS : P4 · 1 source(s).