Veille sécuritéCMS & e-commerce
P3Élevée
Le plugin Reset Database expose une fonction de réinitialisation sans contrôle de capacité adéquat. Un utilisateur authentifié disposant au moins du rôle Subscriber peut, selon la description, effacer les tables de la base, réinstaller WordPress avec ses propres identifiants et prendre le contrôle du site.
WordPress
IdentifiantCVE-2026-119615
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-119615
Analyse technique
La fonction `process_reset()` est enregistrée sur `admin_init` sans contrôle de capacité ; la description mentionne aussi un nonce calculé mais inutilisé et des vérifications d’identité défectueuses.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-11, pendant la période retenue ; c’est la publication de la vulnérabilité qui est prise en compte.
ImpactLa réinitialisation peut supprimer les données du site et permettre à l’attaquant d’en devenir administrateur.
Versions affectéesToutes les versions jusqu’à 1.1.3 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.8
Publication2026-11-11T12:19:15.223Z
Mise à jour2026-11-11T12:19:15.363Z
Action recommandée
Vérifier auprès de l’éditeur la disponibilité d’un correctif et mettre à jour dès qu’une version corrigée est disponible.
Sources
Priorisation DFS : P3 · 1 source(s).