Contournement d’autorisation dans VOD Infomaniak

Veille sécuritéCMS & e-commerce

P4Moyenne

CVE-2026-115831 est un contournement d’autorisation dans VOD Infomaniak, qui permet à des utilisateurs authentifiés de lancer des imports vidéo non autorisés avec les identifiants API du propriétaire. L’exploitation peut consommer le quota VOD et insérer des entrées faisant afficher du contenu vidéo choisi par l’attaquant ; les versions jusqu’à 1.5.15 incluse sont concernées.

IdentifiantCVE-2026-115831

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-115831

Analyse technique

Le gestionnaire AJAX ne vérifie pas que l’utilisateur possède les droits requis pour lancer l’import.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication initiale le 2026-11-06 ; cette divulgation est dans la période demandée, indépendamment de ses modifications administratives.

ImpactImport vidéo non autorisé, consommation du quota du compte VOD et modification du contenu résolu par des shortcodes publics.

Versions affectéesToutes les versions jusqu’à 1.5.15 incluse.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS4.3

EPSS0,37% · percentile 30,6%

Publication2026-11-06T10:16:36.123Z

Mise à jour2026-11-06T18:17:56.303Z

Détection / vérification

L’attaquant doit disposer d’un compte au moins abonné ; l’action d’import vidéo est normalement réservée au rôle contributeur ou supérieur.

Action recommandée

Mettre à jour le plugin lorsqu’un correctif est disponible et limiter les comptes disposant d’un accès au site.

Sources

NVD — CVE-2026-115831

Priorisation DFS : P4 · 1 source(s).