Veille sécuritéCMS & e-commerce
P4Moyenne
GiveWP avant 4.19.0.1 valide insuffisamment un nom de fichier fourni par l’utilisateur lors d’une lecture depuis le disque, ce qui peut permettre à un rôle personnalisé suffisamment privilégié de lire certains fichiers et d’écraser la configuration enregistrée du plugin. Mettre à jour vers 4.19.0.1 ou ultérieure.
WordPress
IdentifiantCVE-2026-111978
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif4.19.0.1
Source : NVD — CVE-2026-111978
Analyse technique
Traversée de chemin dans le traitement d’un nom de fichier; lecture de fichiers analysables comme JSON et écrasement de la configuration GiveWP stockée.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-25T06:16:31.273Z, dans la période demandée; la date de publication motive l’inclusion.
ImpactLecture de fichiers sur le serveur et altération de la configuration GiveWP par un utilisateur disposant du rôle personnalisé requis.
Versions affectéesGiveWP < 4.19.0.1
Version corrigée4.19.0.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.0
EPSS0,16% · percentile 4,9%
Publication2026-10-25T06:16:31.273Z
Mise à jour2026-10-26T13:50:14.083Z
Action recommandée
Mettre à jour GiveWP vers la version 4.19.0.1 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).