Veille sécuritéCMS & e-commerce
P3Critique
Project Manager est vulnérable à une exécution de code à distance par le traitement du paramètre `id` d’une route REST. Toutes les versions jusqu’à 4.1.1 inclus sont concernées; le chemin vulnérable peut être atteint sans authentification.
WordPress
IdentifiantCVE-2026-116512
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-116512
Analyse technique
La valeur non assainie de `id` est incorporée dans une chaîne de validation puis traitée comme des noms de fonctions PHP dynamiques sans liste d’autorisation. Selon la source, la validation de l’argument est exécutée avant le contrôle d’autorisation de la route REST.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-31T08:16:48.603Z, dans la période demandée. Sa mise à jour du 2026-11-02 est postérieure à la période et n’est pas retenue.
ImpactUn attaquant non authentifié peut exécuter du code sur le serveur.
Versions affectéesToutes les versions jusqu’à 4.1.1 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.8
EPSS0,58% · percentile 48,0%
Publication2026-10-31T08:16:48.603Z
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible; en attendant, désactiver le plugin si possible et limiter l’exposition de l’instance.
Sources
Priorisation DFS : P3 · 1 source(s).