Veille sécuritéCMS & e-commerce
P3Élevée
GiveWP permet à un gestionnaire disposant de `manage_give_settings` de configurer l’attribution de rôles privilégiés aux nouveaux comptes donateurs. Les versions jusqu’à 4.19.1 inclusivement sont touchées; aucun correctif ni contournement n’est précisé dans la source fournie.
WordPress
IdentifiantCVE-2026-118193
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-118193
Analyse technique
Le chemin d’import JSON ne déclenche pas le filtre de validation du rôle et peut enregistrer le rôle Administrator; le chemin de sauvegarde des réglages accepte aussi d’autres rôles élevés.
Impact, versions et correctif
Événement datéRetenu comme nouvelle entrée publiée dans NVD le 2026-11-05, date comprise dans la période demandée.
ImpactLes comptes donateurs créés par la suite peuvent recevoir des rôles élevés, jusqu’à Administrator par le chemin d’import.
Versions affectéesToutes les versions jusqu’à 4.19.1 inclusivement
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.8
EPSS0,40% · percentile 34,1%
Publication2026-11-05T05:18:19.427Z
Mise à jour2026-11-05T21:18:40.457Z
Action recommandée
Mettre à jour GiveWP dès qu’un correctif est disponible et limiter l’accès aux réglages et à l’import JSON.
Sources
Priorisation DFS : P3 · 1 source(s).