Veille sécuritéCMS & e-commerce
P4Moyenne
WPvivid vérifie l’extension d’un champ de requête distinct au lieu de celle du fichier importé et désactive le contrôle de type de fichier lors de l’enregistrement. Un administrateur authentifié peut ainsi stocker dans le répertoire d’import un fichier d’extension arbitraire, y compris PHP ; mettre à jour vers la version 0.9.137 ou ultérieure.
WordPress
IdentifiantCVE-2026-115243
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif0.9.137
Source : NVD — CVE-2026-115243
Analyse technique
Le contrôle d’extension porte sur une valeur différente de celle du fichier réellement enregistré ; il s’agit d’une correction incomplète de CVE-2025-5961.
Impact, versions et correctif
Événement datéFiche NVD publiée le 2026-11-04T06:17:01.353Z, dans la période demandée.
ImpactUn administrateur authentifié peut placer un fichier arbitraire, y compris un fichier PHP, dans le répertoire d’import.
Versions affectéesWPvivid — Backup, Migration & Staging avant 0.9.137
Version corrigée0.9.137
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.7
EPSS0,15% · percentile 4,2%
Publication2026-11-04T06:17:01.353Z
Mise à jour2026-11-04T15:17:35.860Z
Action recommandée
Mettre à jour WPvivid — Backup, Migration & Staging vers la version 0.9.137 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).