WP Mail Logging : exposition de courriels journalisés via l’export de données personnelles

Veille sécuritéCMS & e-commerce

P4Faible

Le plugin WP Mail Logging pour WordPress jusqu’à la version 1.17.0 expose des lignes de courriels journalisés lorsque le flux d’export des données personnelles est déclenché avec une adresse contenant un caractère générique correspondant à celle d’autres utilisateurs. Un administrateur peut ainsi révéler des adresses de destinataires, sujets, corps de message et URL; mettre à jour vers une version corrigée dès qu’elle est disponible.

IdentifiantCVE-2026-109401

GravitéFaible

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : CVE-2026-109401 — NVD

Analyse technique

La faille se trouve dans le paramètre email_address utilisé lors du traitement d’une demande d’export WordPress; l’exploitation nécessite un accès administrateur et une adresse comportant un caractère générique correspondant à d’autres adresses journalisées.

Impact, versions et correctif

Événement datéNouvelle fiche NVD publiée dans la période; publication retenue le 2026-10-16T07:17:09.887Z. La mise à jour administrative ultérieure de la fiche ne constitue pas un événement distinct.

ImpactDivulgation de données personnelles et du contenu de courriels journalisés appartenant à d’autres utilisateurs.

Versions affectéesToutes les versions jusqu’à et y compris 1.17.0.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS2.7

EPSS0,32% · percentile 23,8%

Publication2026-10-16T07:17:09.887Z

Mise à jour2026-10-16T15:17:07.347Z

Action recommandée

Mettre à jour vers une version corrigée lorsqu’elle est publiée; limiter l’accès administrateur et surveiller les demandes d’export de données personnelles.

Sources

CVE-2026-109401 — NVD

Priorisation DFS : P4 · 1 source(s).