Élévation de privilèges via un shortcode dans User Frontend

Veille sécuritéCMS & e-commerce

P3Élevée

User Frontend est vulnérable à une élévation de privilèges dans toutes les versions jusqu’à 4.3.13 incluse. Un utilisateur authentifié disposant au minimum du rôle Subscriber peut faire apparaître un formulaire public permettant de créer des comptes Editor ; aucun correctif n’est indiqué dans la source fournie.

IdentifiantCVE-2026-120070

GravitéÉlevée

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-120070

Analyse technique

Une différence de traitement entre la vérification du contenu et sa persistance permet de contourner le blocage d’un shortcode d’inscription. Le formulaire peut être rendu publiquement et, selon la source, l’option d’aut connexion après inscription peut fournir une session privilégiée.

Impact, versions et correctif

Événement datéFiche NVD publiée le 31 octobre 2026 à 08:16:49Z, soit dans la période demandée ; la mise à jour du 2 novembre est hors période et n’est pas retenue.

ImpactCréation possible de comptes Editor via un formulaire d’inscription exposé publiquement.

Versions affectéesToutes les versions jusqu’à 4.3.13 incluse

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS8.8

EPSS0,30% · percentile 23,0%

Publication2026-10-31T10:16:49.183+02:00

Action recommandée

Appliquer une version corrigée dès qu’elle est disponible ; la source fournie ne précise pas de correctif. Examiner les contenus publiés contenant des shortcodes d’inscription.

Sources

NVD — CVE-2026-120070

Priorisation DFS : P3 · 1 source(s).