Veille sécuritéCMS & e-commerce
P3Élevée
Le plugin Mobile builder présente une élévation de privilèges via son gestionnaire REST `wcfmmp_profile_settings()`. Un utilisateur authentifié à partir du rôle Subscriber peut modifier ses métadonnées utilisateur, notamment `wp_capabilities`, et obtenir des privilèges d’administrateur.
WordPress
IdentifiantCVE-2026-104799
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-104799
Analyse technique
La vérification de liste d’autorisation utilise une comparaison lâche avec `strpos()`, tandis que le contrôle d’accès accepte tout utilisateur authentifié; les données fournies peuvent atteindre `update_user_meta()`.
Impact, versions et correctif
Événement datéPublication de la fiche NVD le 2026-11-04, dans la période retenue; il s’agit d’une vulnérabilité nouvellement publiée, et non d’une simple modification administrative.
ImpactUn utilisateur authentifié disposant au minimum du rôle Subscriber peut s’accorder des privilèges d’administrateur.
Versions affectéesToutes les versions jusqu’à 1.4.2 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.8
Publication2026-11-04T12:17:05.713Z
Mise à jour2026-11-04T16:17:31.250Z
Action recommandée
Mettre à jour le plugin dès qu’un correctif est disponible; limiter les comptes authentifiés au strict nécessaire et surveiller les changements de rôles.
Sources
Priorisation DFS : P3 · 1 source(s).