Veille sécuritéCMS & e-commerce
P3Élevée
mView jusqu’à la version 1.0.3 ne valide pas suffisamment le fichier récupéré à distance ni les autorisations avant de l’enregistrer dans un répertoire accessible depuis le Web. Un utilisateur authentifié peu privilégié peut téléverser un fichier PHP arbitraire et potentiellement exécuter du code sur le serveur ; mettre à jour dès qu’un correctif est disponible.
WordPress
IdentifiantCVE-2026-115212
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-115212
Analyse technique
Validation insuffisante du type, du nom et de la source du fichier distant, sans contrôle adéquat de capacité ou d’autorisation.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-09 à 07:17:27.820 UTC, soit 09:17:27.820+02:00, dans la période demandée. Sa mise à jour du 2026-11-10 est postérieure à la borne de fin et n’est pas retenue comme événement.
ImpactTéléversement de fichiers arbitraires pouvant conduire à l’exécution de code à distance.
Versions affectéesmView jusqu’à 1.0.3 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.8
EPSS0,19% · percentile 8,9%
Publication2026-11-09T09:17:27.820+02:00
Action recommandée
Mettre à jour vers une version corrigée dès sa disponibilité ; sinon désactiver le plugin et restreindre les comptes authentifiés.
Sources
Priorisation DFS : P3 · 1 source(s).