Veille sécuritéCMS & e-commerce
P4Faible
La publication NVD du 25 octobre signale un défaut de contrôle de capacité dans InstaWP Connect, antérieur à la version 0.1.4.2. Un utilisateur authentifié disposant d’un accès à la fonctionnalité de synchronisation peut modifier les réglages du plugin, y compris les rôles autorisés à utiliser cette fonctionnalité.
WordPress
IdentifiantCVE-2026-114743
GravitéFaible
Exploitationnon connue / non déterminée
Correctif0.1.4.2
Source : NVD — CVE-2026-114743
Analyse technique
L’action de mise à jour des réglages vérifie un nonce, mais pas les capacités de l’utilisateur. L’accès au mécanisme de synchronisation doit avoir été accordé par un administrateur; il n’est pas activé par défaut.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 25 octobre 2026 à 06:16:32 UTC, soit dans la période demandée en +02:00. Sa mise à jour du 26 octobre est postérieure à la borne de fin et n’est pas retenue.
ImpactModification non autorisée des réglages du plugin par un utilisateur authentifié ayant accès à la fonctionnalité de synchronisation.
Versions affectéesVersions antérieures à 0.1.4.2
Version corrigée0.1.4.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS3.1
EPSS0,17% · percentile 6,1%
Publication2026-10-25T06:16:32.037Z
Action recommandée
Mettre à jour InstaWP Connect vers la version 0.1.4.2 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).