Veille sécuritéCMS & e-commerce
P3Élevée
Salon Booking System avant la version 10.31.9 écarte le contrôle de nonce du cœur WordPress pour les sessions authentifiées par cookie sur l’ensemble de son API REST. Un attaquant peut inciter un administrateur connecté à cliquer sur un lien préparé pour forger des requêtes depuis son navigateur, jusqu’à créer un compte administrateur; mettre à jour au moins en version 10.31.9.
WordPress
IdentifiantCVE-2026-110015
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif10.31.9
Source : CVE-2026-110015 — NVD
Analyse technique
Le contrôle d’authenticité des requêtes REST ne respecte pas le nonce WordPress pour les sessions utilisant l’authentification par cookie.
Impact, versions et correctif
Événement datéNouvelle fiche NVD publiée dans la période; publication retenue le 2026-10-16T07:17:10.470Z. La mise à jour administrative ultérieure de la fiche ne constitue pas un événement distinct.
ImpactRequêtes forgées dans le navigateur d’un administrateur, avec possibilité de création d’un compte administrateur.
Versions affectéesVersions antérieures à 10.31.9.
Version corrigée10.31.9
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.8
EPSS0,11% · percentile 1,0%
Publication2026-10-16T07:17:10.470Z
Mise à jour2026-10-16T15:17:09.097Z
Action recommandée
Mettre à jour au moins vers la version 10.31.9; éviter de suivre des liens non fiables lorsqu’une session administrateur est ouverte.
Sources
Priorisation DFS : P3 · 1 source(s).