Veille sécuritéCMS & e-commerce
P3Critique
Le plugin ne valide pas le chemin de fichier à supprimer et ne restreint pas l’accès aux écrans d’administration concernés, ce qui permet à un utilisateur disposant au moins du rôle Abonné de supprimer des fichiers arbitraires sur le serveur. Pay with a tweet jusqu’à la version 1.0.5 incluse est concerné ; aucune version corrigée n’est indiquée dans les informations fournies.
WordPress
IdentifiantCVE-2026-115734
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-115734
Analyse technique
La suppression accepte un chemin non validé et l’écran qui l’effectue n’est pas protégé par un contrôle d’accès adéquat.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-11T06:17:13.753Z, dans la période demandée. Sa mise à jour du 2026-11-12T18:49:18.840Z est postérieure à la période et n’est pas retenue comme événement.
ImpactLa suppression de fichiers arbitraires peut compromettre l’intégrité ou le fonctionnement du site.
Versions affectéesPay with a tweet jusqu’à la version 1.0.5 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.6
EPSS0,19% · percentile 8,8%
Publication2026-11-11T06:17:13.753Z
Action recommandée
Vérifier auprès de l’éditeur la disponibilité d’une version corrigée et limiter l’accès aux fonctions concernées.
Sources
Priorisation DFS : P3 · 1 source(s).