Veille sécuritéCMS & e-commerce
P3Critique
Un utilisateur disposant d’un rôle aussi bas que Subscriber peut faire supprimer des fichiers arbitraires du serveur lors du téléversement d’une nouvelle image de profil ou d’équipe. Tournamatch est concerné avant la version 4.7.1 ; mettez le plugin à jour vers la version 4.7.1 ou ultérieure.
WordPress
IdentifiantCVE-2026-121379
GravitéCritique
Exploitationnon connue / non déterminée
Correctif4.7.1
Source : NVD — CVE-2026-121379
Analyse technique
Le plugin ne valide ni ne limite le chemin d’une image de profil ou d’équipe déjà stockée avant de la supprimer lors du remplacement.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-07 et une mise à jour le même jour ; l’événement retenu est la publication de la vulnérabilité dans la période demandée.
ImpactSuppression de fichiers arbitraires du serveur, avec risque de compromission complète du site.
Versions affectéesTournamatch avant 4.7.1
Version corrigée4.7.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.6
EPSS0,15% · percentile 4,2%
Publication2026-11-07T06:16:58.040Z
Mise à jour2026-11-07T19:17:22.663Z
Action recommandée
Mettre à jour Tournamatch vers la version 4.7.1 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).