Veille sécuritéCMS & e-commerce
P3Critique
La version 1.5.0.1 de WP Libre Form ne valide pas le type des fichiers reçus par les soumissions de formulaires. Un attaquant non authentifié peut téléverser un fichier PHP dans un emplacement accessible sur le Web et provoquer une exécution de code à distance.
WordPress
IdentifiantCVE-2026-118423
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-118423
Analyse technique
Le type des fichiers téléversés via les soumissions de formulaires n’est pas vérifié; la source ne précise pas de version corrigée.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-06T08:17:18.550Z, dans la période demandée; la vulnérabilité est retenue comme nouvelle, et non sur la seule base de son horodatage de mise à jour ultérieur.
ImpactUn attaquant non authentifié peut téléverser un fichier PHP accessible sur le Web et exécuter du code à distance.
Versions affectéesWP Libre Form 1.5.0.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS10
EPSS0,57% · percentile 47,3%
Publication2026-11-06T08:17:18.550Z
Mise à jour2026-11-06T20:09:13.780Z
Action recommandée
Désactiver ou retirer le plugin vulnérable jusqu’à l’installation d’une version corrigée; la source fournie n’indique pas de correctif.
Sources
Priorisation DFS : P3 · 1 source(s).