Veille sécuritéCMS & e-commerce
P3Critique
Automated Import Products to Cart avant la version 1.0.4 n’assainit pas un chemin de fichier fourni par l’utilisateur avant de lire et supprimer des fichiers. Des utilisateurs disposant de faibles privilèges, comme les abonnés, peuvent lire des fichiers arbitraires, notamment ceux contenant les identifiants de la base de données, et supprimer des fichiers sur le serveur ; mettez le plugin à jour vers la version 1.0.4 ou ultérieure.
WordPress
IdentifiantCVE-2026-113617
GravitéCritique
Exploitationnon connue / non déterminée
Correctif1.0.4
Source : NVD — CVE-2026-113617
Analyse technique
Un chemin de fichier fourni par l’utilisateur est utilisé sans assainissement pour des opérations de lecture et de suppression.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-29, dans la période demandée ; l’entrée décrit une vulnérabilité, et non seulement une modification administrative.
ImpactLecture de fichiers sensibles et suppression arbitraire de fichiers sur le serveur.
Versions affectéesAutomated Import Products to Cart < 1.0.4
Version corrigée1.0.4
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.9
EPSS0,16% · percentile 4,9%
Publication2026-10-29T06:17:18.857Z
Mise à jour2026-10-29T15:18:27.920Z
Action recommandée
Mettre à jour Automated Import Products to Cart vers la version 1.0.4 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).