La fiche NVD publiée le 2026-11-07 décrit une exposition de données de participants dans Amelia jusqu’à la version 9.9.1 incluse. Un compte authentifié ayant le rôle wpamelia-customer ou des privilèges supérieurs peut obtenir le CSV des participants de n’importe quel événement; mettez à jour dès qu’un correctif est disponible et vérifiez les accès accordés aux comptes clients.
Source : NVD — CVE-2026-107616
Analyse technique
Le gestionnaire de commande vérifie une capacité générale, mais ne vérifie pas que l’utilisateur est organisateur ou fournisseur de l’événement demandé. L’export peut contenir des données personnelles, des informations de paiement, des notes privées et des URL de fichiers téléversés.
Impact, versions et correctif
Action recommandée
Mettre à jour vers une version corrigée dès sa disponibilité et réexaminer les comptes dotés du rôle wpamelia-customer.
Sources
Priorisation DFS : P3 · 1 source(s).