Veille sécuritéCMS & e-commerce
P3Critique
File Upload to Order ne valide pas et ne confine pas un chemin de fichier issu de données de session contrôlées par un attaquant avant de supprimer le fichier. L’action de suppression est accessible sans authentification et peut permettre la suppression de fichiers arbitraires sur le serveur, avec un risque de compromission complète du site.
WordPress
IdentifiantCVE-2026-107594
GravitéCritique
Exploitationnon connue / non déterminée
Correctif1.1.4
Source : NVD — CVE-2026-107594
Analyse technique
Une action accessible sans authentification supprime un fichier désigné par un chemin non validé provenant de données de session contrôlées.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-14, dans la période retenue; l’événement retenu est la publication de la vulnérabilité, et non la seule modification administrative.
ImpactSuppression de fichiers arbitraires sur le serveur, pouvant entraîner la compromission du site.
Versions affectéesFile Upload to Order antérieur à 1.1.4
Version corrigée1.1.4
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS10
EPSS0,19% · percentile 8,1%
Publication2026-10-14T09:17:02.090+02:00
Mise à jour2026-10-14T18:14:02.800+02:00
Action recommandée
Mettre à jour File Upload to Order vers la version 1.1.4 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).