Veille sécuritéCMS & e-commerce
P4Moyenne
La route REST de rendu de blocs de Content Egg peut exposer les données produit de publications non publiées lorsqu’elle est appelée sans nonce. Les versions antérieures à 12.1.0 sont concernées; les données divulguées peuvent inclure des titres, des liens affiliés, des informations de marchand et des descriptions.
WordPress
IdentifiantCVE-2026-119751
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-119751
Analyse technique
La vérification de permission de la route POST /wp-json/content-egg/v1/render-blocks autorise la requête sans en-tête X-WP-Nonce; le traitement ne vérifie pas le statut de publication de l’article.
Impact, versions et correctif
Événement datéNouvelle fiche CVE publiée par la NVD le 2026-11-05, dans la période demandée.
ImpactDivulgation de données produit associées à des articles en brouillon, en attente, programmés ou privés.
Versions affectéesContent Egg avant 12.1.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.9
Publication2026-11-05T16:17:40.717Z
Mise à jour2026-11-05T21:18:41.527Z
Action recommandée
Mettre à jour Content Egg vers la version 12.1.0 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).