Veille sécuritéCMS & e-commerce
P4Moyenne
La version 3.0.0 et les versions antérieures de Related Posts for WordPress exposent les titres et dates de publication de tous les articles privés à des utilisateurs authentifiés ayant au moins le rôle Contributeur. La fiche ne précise pas de version corrigée ; mettre à jour le plugin si un correctif est disponible ou en limiter l’accès.
WordPress
IdentifiantCVE-2026-109980
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-109980
Analyse technique
Divulgation de données via le paramètre rp4wp_view : les contrôles d’autorisation edit_posts et edit_post ne protègent pas les articles privés d’autres auteurs.
Impact, versions et correctif
Événement datéPublication NVD le 2026-10-28T07:16:45.603Z, dans la période demandée ; retenue comme divulgation d’une vulnérabilité nouvelle.
ImpactUn attaquant authentifié de niveau Contributeur ou supérieur peut consulter les titres et dates de publication des articles privés du site.
Versions affectéesRelated Posts for WordPress jusqu’à 3.0.0 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.3
EPSS0,22% · percentile 12,2%
Publication2026-10-28T07:16:45.603Z
Mise à jour2026-10-28T16:17:00.453Z
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est publiée ; jusque-là, limiter l’accès au plugin et surveiller les accès aux données privées.
Sources
Priorisation DFS : P4 · 1 source(s).