Veille sécuritéCMS & e-commerce
P3Critique
Un attaquant non authentifié peut exécuter du code arbitraire sous certaines conditions : la page d’erreur personnalisée de base de données doit être activée et l’attaquant doit gagner une course contre un administrateur qui enregistre les réglages. Fiber Admin est concerné avant la version 4.0.1 ; mettez le plugin à jour vers la version 4.0.1 ou ultérieure.
WordPress
IdentifiantCVE-2026-121491
GravitéCritique
Exploitationnon connue / non déterminée
Correctif4.0.1
Source : NVD — CVE-2026-121491
Analyse technique
Une valeur d’en-tête de requête n’est ni validée ni échappée avant son écriture dans un fichier PHP régénéré par un hook d’administration non protégé.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-07 et une mise à jour le même jour ; l’événement retenu est la publication de la vulnérabilité dans la période demandée.
ImpactExécution de code arbitraire pouvant compromettre le site, sous les conditions décrites.
Versions affectéesFiber Admin avant 4.0.1
Version corrigée4.0.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9
EPSS0,22% · percentile 13,1%
Publication2026-11-07T06:16:58.280Z
Mise à jour2026-11-07T19:17:22.980Z
Action recommandée
Mettre à jour Fiber Admin vers la version 4.0.1 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).