Veille sécuritéCMS & e-commerce
P3Élevée
WP Directory Kit présente une injection SQL via le paramètre `idfield` jusqu’à la version 1.6.0 incluse. Un attaquant non authentifié peut ajouter des requêtes SQL et potentiellement extraire des informations sensibles de la base de données.
WordPress
IdentifiantCVE-2026-109197
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-109197
Analyse technique
Le paramètre fourni par l’utilisateur n’est pas suffisamment échappé et la requête SQL existante n’est pas correctement préparée.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-31 ; cette publication est l’événement retenu.
ImpactAccès potentiel à des données sensibles stockées dans la base de données.
Versions affectéesToutes les versions jusqu’à 1.6.0 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
EPSS0,54% · percentile 45,5%
Publication2026-10-31T10:16:37.507Z
Mise à jour2026-10-31T10:16:37.620Z
Action recommandée
Mettre à jour vers une version corrigée lorsqu’elle est disponible ; limiter l’exposition du plugin tant qu’aucun correctif n’est confirmé.
Sources
Priorisation DFS : P3 · 1 source(s).