Veille sécuritéCMS & e-commerce
P4Moyenne
WP Directory Kit avant la version 1.6.3 ne nettoie ni n’échappe un paramètre utilisé dans une requête SQL, ce qui permet une injection SQL aux utilisateurs disposant du rôle personnalisé Listing Admin ou d’un rôle supérieur. Mettez à jour le plugin vers la version 1.6.3 ou une version ultérieure.
WordPress
IdentifiantCVE-2026-118420
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif1.6.3
Source : NVD — CVE-2026-118420
Analyse technique
Un paramètre non assaini est incorporé à une instruction SQL ; l’exploitation requiert le rôle Listing Admin personnalisé ou un rôle supérieur.
Impact, versions et correctif
Événement datéLa publication NVD est datée du 2026-11-11, dans la période demandée ; l’événement retenu est la publication de la vulnérabilité.
ImpactUn utilisateur doté du rôle Listing Admin personnalisé ou d’un rôle supérieur peut effectuer des injections SQL.
Versions affectéesWP Directory Kit avant 1.6.3
Version corrigée1.6.3
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.8
EPSS0,21% · percentile 11,8%
Publication2026-11-11T08:17:15.220+02:00
Mise à jour2026-11-11T14:19:06.587+02:00
Action recommandée
Mettre à jour WP Directory Kit vers la version 1.6.3 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).