Veille sécuritéCMS & e-commerce
P4Moyenne
Surfer avant la version 1.8.1.759 divulgue un identifiant d’API sensible aux utilisateurs disposant de faibles privilèges dans l’éditeur d’articles. Le plugin utilise également cet identifiant comme unique autorisation pour son API REST privilégiée, ce qui peut permettre à ces utilisateurs de publier des articles arbitraires et d’effectuer d’autres actions privilégiées.
WordPress
IdentifiantCVE-2026-118639
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif1.8.1.759
Source : NVD — CVE-2026-118639
Analyse technique
L’identifiant d’API exposé dans l’éditeur sert de seul mécanisme d’autorisation pour l’API REST privilégiée du plugin.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-06, dans la période demandée. La date de publication et les détails fournis décrivent une vulnérabilité, et non une simple modification administrative.
ImpactDivulgation d’un identifiant d’API et accès possible à des fonctions privilégiées, dont la publication de contenu.
Versions affectéesSurfer avant la version 1.8.1.759
Version corrigée1.8.1.759
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.5
EPSS0,13% · percentile 2,8%
Publication2026-11-06T06:16:41.250Z
Mise à jour2026-11-06T20:09:13.780Z
Action recommandée
Mettre à jour vers la version 1.8.1.759 ou une version ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).