Veille sécuritéCMS & e-commerce
P4Moyenne
La fiche NVD publiée le 28 octobre décrit une injection SQL dans la construction des requêtes enregistrant les règles de visibilité des pages et catégories d’une fenêtre popup. Un administrateur authentifié peut injecter du SQL et lire la base de données WordPress ; mettre à jour Customer Engagement System vers la version 2.0.2 ou ultérieure.
WordPress
IdentifiantCVE-2026-115224
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif2.0.2
Source : CVE-2026-115224 — NVD
Analyse technique
Des identifiants fournis dans la requête sont concaténés à une instruction INSERT sans liaison de paramètres ni conversion en entier.
Impact, versions et correctif
Événement datéPublication de la fiche NVD dans la période demandée, le 28 octobre 2026.
ImpactLecture du contenu de la base de données WordPress par un administrateur authentifié.
Versions affectéesCustomer Engagement System avant 2.0.2
Version corrigée2.0.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.1
EPSS0,18% · percentile 7,4%
Publication2026-10-28T08:16:35.617+02:00
Mise à jour2026-10-28T20:17:11.633+02:00
Action recommandée
Mettre à jour Customer Engagement System vers la version 2.0.2 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).