Veille sécuritéCMS & e-commerce
P4Moyenne
WholesaleX avant la version 3.0.9 conserve le fichier d’importation des utilisateurs dans un emplacement accessible publiquement, sous un nom prévisible, sans le protéger ni le supprimer. Un attaquant non authentifié peut télécharger les données du dernier import, qui peuvent comprendre des mots de passe et des renseignements de contact ou d’adresse des clients.
WordPress
IdentifiantCVE-2026-111956
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif3.0.9
Source : NVD — CVE-2026-111956
Analyse technique
Le fichier d’importation reste accessible à une URL publique prévisible; les données exposées dépendent du contenu importé.
Impact, versions et correctif
Événement datéLa fiche CVE a été publiée par le NVD le 2026-10-21, dans la période demandée.
ImpactDivulgation possible des données du dernier import d’utilisateurs, dont des mots de passe et des informations personnelles de clients.
Versions affectéesWholesaleX avant 3.0.9
Version corrigée3.0.9
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.9
EPSS0,15% · percentile 4,0%
Publication2026-10-21T06:16:48.743Z
Mise à jour2026-10-21T18:37:38.700Z
Action recommandée
Mettre à jour WholesaleX vers la version 3.0.9 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).