Veille sécuritéCMS & e-commerce
P3Élevée
Search Regex 3.5 est vulnérable à une injection d’objet PHP par désérialisation de données non fiables dans replace_all. La description indique qu’un utilisateur authentifié ayant au moins le rôle Subscriber peut exploiter une chaîne POP présente pour parvenir à l’exécution de code.
WordPress
IdentifiantCVE-2026-104932
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-104932
Analyse technique
La vulnérabilité concerne la désérialisation d’entrée non fiable dans la fonction replace_all; la description mentionne la présence d’une chaîne POP.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-16, dans la période demandée; l’information retenue est la vulnérabilité décrite, et non la seule date de modification de la fiche.
ImpactInjection d’objet PHP et possibilité d’exécution de code par un utilisateur authentifié.
Versions affectéesVersion 3.5
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8
EPSS0,29% · percentile 20,2%
Publication2026-10-16T06:17:05.590Z
Mise à jour2026-10-16T15:17:03.793Z
Action recommandée
Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible; suspendre l’usage de la version concernée si aucun correctif n’est disponible.
Sources
Priorisation DFS : P3 · 1 source(s).