CVE-2026-109381 — Élévation de privilèges dans Mage Eventpress

Veille sécuritéCMS & e-commerce

P3Élevée

Mage Eventpress permet une élévation de privilèges jusqu’à la version 5.7.8 incluse : un utilisateur authentifié ayant au moins les droits Shop Manager peut obtenir des privilèges d’administrateur en exploitant une vérification insuffisante d’un marqueur de requête. La fiche fournie ne mentionne pas de version corrigée; mettre à jour dès qu’un correctif est disponible et restreindre les comptes disposant du rôle Shop Manager.

IdentifiantCVE-2026-109381

GravitéÉlevée

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-109381

Analyse technique

La fonction mep_grant_shop_manager_access() accorde manage_options lorsque le paramètre page commence par mep_ ou mpwem_, sans vérifier qu’il correspond à un écran Eventpress enregistré.

Impact, versions et correctif

Événement datéLa fiche NVD a été publiée le 2026-10-28T07:16:44.423Z, dans la période demandée; sa mise à jour du 2026-10-28T17:17:34.973Z est également dans la période, mais aucun changement substantiel n’est décrit dans les données fournies.

ImpactUn utilisateur Shop Manager peut potentiellement obtenir les privilèges d’administrateur.

Versions affectéesToutes les versions jusqu’à 5.7.8 incluse

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.2

EPSS0,43% · percentile 37,3%

Publication2026-10-28T07:16:44.423Z

Action recommandée

Mettre à jour vers une version corrigée dès sa disponibilité et limiter les comptes Shop Manager aux personnes de confiance.

Sources

NVD — CVE-2026-109381

Priorisation DFS : P3 · 1 source(s).