Veille sécuritéCMS & e-commerce
P4Moyenne
NotificationX ne vérifie ni l’authentification, ni les capacités, ni le nonce sur le chemin de prévisualisation des notifications. Avant la version 3.3.7, un utilisateur non authentifié peut divulguer des publications privées, brouillons, en attente ou protégées par mot de passe, et déclencher des shortcodes enregistrés au moyen de données de prévisualisation forgées.
WordPress
IdentifiantCVE-2026-119302
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif3.3.7
Source : NVD — CVE-2026-119302
Analyse technique
Le chemin de prévisualisation accepte des données fournies par l’utilisateur sans contrôles d’accès ou de nonce.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-11T08:17:17.430Z, dans la période demandée ; sa mise à jour ultérieure n’est pas retenue comme événement.
ImpactDivulgation de contenus non publics et exécution de shortcodes enregistrés dans le contexte du site.
Versions affectéesNotificationX antérieur à 3.3.7
Version corrigée3.3.7
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.5
EPSS0,32% · percentile 25,8%
Publication2026-11-11T08:17:17.430Z
Mise à jour2026-11-12T18:49:18.840Z
Action recommandée
Mettre à jour NotificationX vers la version 3.3.7 ou une version ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).