Veille sécuritéCMS & e-commerce
P3Élevée
Royal MCP avant la version 1.5.7 ne limite pas un jeton de prévisualisation à la prévisualisation pour laquelle il a été émis. Une personne qui obtient un jeton valide peut être authentifiée comme son propriétaire sur l’ensemble de l’API REST, ce qui peut conduire à une prise de contrôle du site.
WordPress
IdentifiantCVE-2026-111958
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif1.5.7
Source : NVD — CVE-2026-111958
Analyse technique
Le risque décrit est particulièrement important lorsque le jeton appartient à un administrateur, configuration par défaut signalée dans la fiche.
Impact, versions et correctif
Événement datéLa fiche NVD fournie indique une publication le 2026-10-22 à 06:17:14Z, pendant la période demandée.
ImpactAuthentification non autorisée sur l’API REST et prise de contrôle potentielle du site.
Versions affectéesRoyal MCP avant 1.5.7
Version corrigée1.5.7
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
EPSS0,13% · percentile 2,5%
Publication2026-10-22T06:17:14.113Z
Mise à jour2026-10-22T15:16:14.027Z
Action recommandée
Mettre à jour Royal MCP vers la version 1.5.7 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).