Veille sécuritéBackend & données
P3Critique
Snazzy Social Media Feed permet l’écriture d’un fichier potentiellement exécutable dans son cache à partir du paramètre pluginURL, sans contrôles WordPress suffisants. Un attaquant authentifié disposant au moins du rôle Abonné peut ainsi provoquer une exécution de code à distance.
PHPWordPress
IdentifiantCVE-2026-110002
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-110002
Analyse technique
Le script save-to-cache.php est accessible directement et n’effectue pas les vérifications d’authentification, de capacité ou de nonce attendues; pluginURL est filtré insuffisamment avant écriture dans cached-content/cached-feed.php.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-14, dans la période. L’item est retenu comme vulnérabilité publiée à cette date, et non sur la seule base de sa date de modification.
ImpactÉcriture d’un fichier potentiellement exécutable et possibilité d’exécution de code à distance.
Versions affectéesVersions jusqu’à 2.5 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.8
EPSS0,98% · percentile 61,3%
Publication2026-10-14T03:17:20.220Z
Mise à jour2026-10-14T14:26:59.367Z
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible; à défaut, désactiver le plugin jusqu’à l’application d’un correctif.
Sources
Priorisation DFS : P3 · 1 source(s).