Veille sécuritéBackend & données
P3Élevée
BP Profile Search peut inclure un fichier local à partir d’une valeur de modèle contrôlée par le client dans une requête AJAX BuddyPress. Une inclusion de fichier PHP peut entraîner une exécution de code à distance dans certaines conditions.
PHPWordPress
IdentifiantCVE-2026-104995
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-104995
Analyse technique
La valeur du cookie bps_directory est utilisée pour localiser un modèle sans liste d’autorisation ni contrôle de traversée de chemin; le contrôle fondé sur le référent est lui-même contrôlable lors des requêtes AJAX.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-14, dans la période. L’item est retenu comme vulnérabilité publiée à cette date, et non sur la seule base de sa date de modification.
ImpactUn attaquant non authentifié peut provoquer l’inclusion de fichiers locaux; l’exécution de code dépend notamment de la possibilité d’inclure un fichier PHP contrôlé.
Versions affectéesVersions jusqu’à 5.9 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.1
EPSS0,85% · percentile 57,4%
Publication2026-10-14T02:16:56.500Z
Mise à jour2026-10-14T19:17:08.627Z
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible; à défaut, désactiver le plugin jusqu’à l’application d’un correctif.
Sources
Priorisation DFS : P3 · 1 source(s).