Veille sécuritéCMS & e-commerce
P4Moyenne
Redux Framework ne vérifie pas correctement les autorisations lors de l’export de la configuration du panneau Redux. Un utilisateur authentifié disposant au minimum du rôle d’abonné peut ainsi accéder à des informations de configuration sensibles, si un champ import_export est enregistré sur son profil.
WordPress
IdentifiantCVE-2026-110705
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-110705
Analyse technique
La condition d’exploitation implique qu’un thème ou une extension enregistre un champ import_export via Redux_Users::set_profile(); le nonce correspondant apparaît sur la page de profil de l’abonné.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-07; cette publication est retenue comme événement daté dans la période.
ImpactDes secrets configurés dans Redux, tels que des clés API ou identifiants SMTP, peuvent être divulgués.
Versions affectéesToutes les versions jusqu’à 4.5.16 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
EPSS0,35% · percentile 28,2%
Publication2026-11-07T05:18:00.850Z
Mise à jour2026-11-07T19:17:17.973Z
Action recommandée
Mettre à jour Redux Framework dès qu’une version corrigée est disponible et éviter d’exposer des champs d’export aux profils non administrateurs.
Sources
Priorisation DFS : P4 · 1 source(s).