Motors : suppression arbitraire de fichiers dans les téléversements

Veille sécuritéCMS & e-commerce

P3Élevée

Motors – Car Dealership & Classified Listings Plugin pour WordPress présente une suppression arbitraire de fichiers due à une validation insuffisante des chemins, dans toutes les versions jusqu’à 1.4.125 incluse. La description précise que la suppression est limitée à « wp-content/uploads » ; aucune version corrigée n’est mentionnée.

IdentifiantCVE-2026-104746

GravitéÉlevée

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-104746

Analyse technique

Un utilisateur authentifié au niveau Abonné ou supérieur peut manipuler le chemin de fichier associé à son avatar ; le nonce nécessaire est présent sur les pages publiques et les métadonnées concernées sont modifiables par l’utilisateur.

Impact, versions et correctif

Événement datéLa fiche NVD est publiée le 2026-11-07, dans la période demandée ; la description fournie documente une vulnérabilité de suppression de fichiers.

ImpactSuppression de fichiers dans « wp-content/uploads » par un utilisateur authentifié disposant du rôle Abonné ou supérieur.

Versions affectéesJusqu’à la version 1.4.125 incluse

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS8.1

Publication2026-11-07T12:17:41.480Z

Mise à jour2026-11-07T19:17:17.490Z

Action recommandée

Mettre à jour vers une version corrigée dès qu’elle est disponible ; dans l’intervalle, désactiver le plugin ou limiter les comptes authentifiés non fiables.

Sources

NVD — CVE-2026-104746

Priorisation DFS : P3 · 1 source(s).