Veille sécuritéBackend & données
P4Faible
10up Distributor, avant la version 2.3.2, présente une injection d’objets PHP déclenchable par des utilisateurs ayant le rôle Contributeur. L’impact dépend des classes gadget disponibles dans l’environnement; la fiche NVD attribue à cette vulnérabilité un score faible.
PHP
IdentifiantCVE-2026-111628
GravitéFaible
Exploitationnon connue / non déterminée
Correctif2.3.2
Source : NVD — CVE-2026-111628
Analyse technique
Des métadonnées de publication distribuée sont désérialisées deux fois; set_meta() dans includes/utils.php peut ainsi instancier des objets PHP définis par l’attaquant sur le site destinataire.
Impact, versions et correctif
Événement datéPublication de la fiche NVD le 2026-10-16; l’événement retenu est la divulgation de cette vulnérabilité pendant la période demandée.
ImpactL’instanciation d’objets PHP est possible; les conséquences dépendent des classes gadget chargées sur le site cible.
Versions affectéesVersions antérieures à 2.3.2.
Version corrigée2.3.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS2.3
Publication2026-10-16T18:17:42.907Z
Mise à jour2026-10-16T19:03:18.127Z
Action recommandée
Mettre à jour 10up Distributor vers la version 2.3.2 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).