Veille sécuritéCMS & e-commerce
P3Élevée
Ever Accounting avant la version 2.3.3 ne limite pas le chemin de fichier fourni à la procédure d’import CSV à un répertoire autorisé. Un utilisateur disposant du rôle Accounting Manager peut supprimer des fichiers arbitraires sur le serveur, notamment wp-config.php, et rendre le site indisponible.
WordPress
IdentifiantCVE-2026-118045
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif2.3.3
Source : NVD — CVE-2026-118045
Analyse technique
Le chemin de fichier fourni à l’import CSV n’est pas restreint à un répertoire autorisé; l’exploitation est accessible au rôle personnalisé Accounting Manager, sans privilèges administrateur.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-06, dans la période demandée. La date de publication et les détails fournis décrivent une vulnérabilité, et non une simple modification administrative.
ImpactSuppression de fichiers arbitraires du serveur et interruption possible du site.
Versions affectéesEver Accounting avant la version 2.3.3
Version corrigée2.3.3
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.7
EPSS0,15% · percentile 4,2%
Publication2026-11-06T06:16:40.593Z
Mise à jour2026-11-06T20:09:13.780Z
Action recommandée
Mettre à jour vers la version 2.3.3 ou une version ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).