Advanced Custom Fields et Smile Pack : suppression non autorisée de fichiers

Veille sécuritéCMS & e-commerce

P4Moyenne

Une faille de contrôle d’accès permet la suppression sans connexion d’images dans les dossiers Gallery d’Advanced Custom Fields et de Smile Pack. Pour certaines versions d’Advanced Custom Fields, elle expose également les téléversements non enregistrés d’autres utilisateurs; les sources consultées ne précisent pas la version corrective.

IdentifiantCVE-2026-115451

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-115451

Analyse technique

Suppression d’images sans authentification; dans Advanced Custom Fields 3.1.7 et 3.1.8, accès possible aux téléversements non enregistrés d’autres utilisateurs.

Impact, versions et correctif

Événement datéLa publication NVD fournie est horodatée 2026-11-05 à 19:17:09.963Z, soit 2026-11-05 à 21:17:09.963+02:00, dans la période demandée.

ImpactSuppression d’images publiées et, pour certaines versions d’Advanced Custom Fields, consultation ou manipulation de téléversements non enregistrés d’autres utilisateurs.

Versions affectéesAdvanced Custom Fields 2.8.13–2.8.15, 3.1.4–3.1.8; Smile Pack 1.2.7–1.2.9, 2.1.2–2.1.6

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS6.9

Publication2026-11-05T19:17:09.963Z

Mise à jour2026-11-05T19:17:09.963Z

Détection / vérification

Vérifier les versions installées d’Advanced Custom Fields et de Smile Pack, en particulier les versions listées comme affectées.

Action recommandée

Vérifier auprès de l’éditeur la disponibilité d’une version corrigée et mettre à jour dès sa publication.

Sources

NVD — CVE-2026-115451

Priorisation DFS : P4 · 1 source(s).