Veille sécuritéCMS & e-commerce
P3Élevée
Mapster WP Maps, avant la version 2.0.6, expose une route REST qui écrit des données de publication sans contrôle d’autorisation. Un attaquant non authentifié peut modifier le titre de publications arbitraires, créer des publications publiées et remplacer les paramètres enregistrés du plugin.
WordPress
IdentifiantCVE-2026-118638
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif2.0.6
Source : NVD — CVE-2026-118638
Analyse technique
Une route de l’API REST modifiant les données de publication ne réalise pas de contrôle d’autorisation.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-31, dans la période demandée. Sa mise à jour du 2026-11-02 est postérieure et n’est pas retenue comme événement.
ImpactDes contenus peuvent être modifiés ou créés et les paramètres du plugin altérés sans authentification.
Versions affectéesVersions antérieures à 2.0.6
Version corrigée2.0.6
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
EPSS0,15% · percentile 3,9%
Publication2026-10-31T06:16:34.330Z
Mise à jour2026-11-02T16:20:09.333Z
Action recommandée
Mettre à jour Mapster WP Maps vers la version 2.0.6 ou une version ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).