Veille sécuritéCMS & e-commerce
P4Moyenne
Royal MCP avant 1.5.10 ne vérifie pas les permissions au niveau de l’objet ni le type de contenu dans l’un de ses outils de recherche. Un utilisateur authentifié, par exemple un abonné, peut accéder au titre et au contenu d’entrées non publiques; mettre à jour vers la version 1.5.10 ou ultérieure.
WordPress
IdentifiantCVE-2026-111960
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif1.5.10
Source : NVD — CVE-2026-111960
Analyse technique
L’absence de contrôles d’autorisation au niveau de l’objet permet de rechercher des contenus non publics, dont des données personnelles stockées par un plugin Royal MCP compagnon.
Impact, versions et correctif
Événement datéPublication NVD indiquée le 2026-10-28T06:16:34.623Z, soit le 2026-10-28T08:16:34.623+02:00, dans la période demandée; le descriptif fait état d’une vulnérabilité et de sa version corrigée.
ImpactDes utilisateurs authentifiés peuvent divulguer le titre et le contenu d’entrées non publiques, y compris des données personnelles.
Versions affectéesRoyal MCP versions antérieures à 1.5.10
Version corrigée1.5.10
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.3
EPSS0,15% · percentile 4,0%
Publication2026-10-28T08:16:34.623+02:00
Mise à jour2026-10-28T20:17:08.480+02:00
Action recommandée
Mettre à jour Royal MCP vers la version 1.5.10 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).