Veille sécuritéCMS & e-commerce
P3Élevée
Advanced Custom Fields: Extended peut exposer des informations sensibles, notamment le hachage du mot de passe WordPress d’un utilisateur, via un formulaire configuré pour publier les données de termes. Toutes les versions jusqu’à 0.9.2.7 inclus sont concernées; l’exploitation exige une page publique configurée avec un formulaire `[acfe_form]` et une action Term comportant le mapping `save.name`.
WordPress
IdentifiantCVE-2026-110305
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-110305
Analyse technique
Une balise de modèle `{get_user}` peut être résolue puis enregistrée comme nom de terme publiquement lisible dans la configuration vulnérable.
Impact, versions et correctif
Événement datéPublication de la fiche NVD dans la période demandée, le 2026-10-30.
ImpactDivulgation de données sensibles, potentiellement du hachage du mot de passe de tout utilisateur.
Versions affectéesToutes les versions jusqu’à 0.9.2.7 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
Publication2026-10-30T18:17:20.060Z
Mise à jour2026-10-30T19:18:08.463Z
Action recommandée
Mettre à jour dès qu’un correctif est disponible et examiner les formulaires publics utilisant les actions Term et le mapping concerné.
Sources
Priorisation DFS : P3 · 1 source(s).