LPagery permet des actions non autorisées sur les pages générées

Veille sécuritéCMS & e-commerce

P4Moyenne

LPagery ne vérifie pas correctement les autorisations sur certaines actions, permettant à des utilisateurs authentifiés de niveau Abonné ou supérieur de créer, modifier ou supprimer des pages et des processus de génération. Les versions jusqu’à 3.1.0 inclus sont concernées ; sur les installations par défaut où Freemius n’a pas été activé, le mécanisme de jeton peut en outre reposer sur une clé prévisible, et aucun correctif n’est précisé dans les données fournies.

IdentifiantCVE-2026-110019

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-110019

Analyse technique

Le contrôle d’autorisation est insuffisant ; sur les installations concernées, la clé AES-256-CBC de validation des jetons Bearer peut se réduire au hachage SHA-256 public d’une chaîne vide.

Impact, versions et correctif

Événement datéPublication NVD le 2026-10-16 ; l’événement retenu est la publication de la vulnérabilité, datée dans la période demandée.

ImpactCréation, modification ou suppression non autorisée de pages WordPress et de processus LPagery.

Versions affectéesToutes les versions jusqu’à 3.1.0 inclus

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS4.3

EPSS0,22% · percentile 11,8%

Publication2026-10-16T05:17:29.850Z

Mise à jour2026-10-16T16:17:03.573Z

Action recommandée

Mettre à jour vers une version corrigée dès qu’elle est disponible ; vérifier l’activation de Freemius et limiter les comptes à privilèges faibles.

Sources

NVD — CVE-2026-110019

Priorisation DFS : P4 · 1 source(s).