Veille sécuritéCMS & e-commerce
P3Moyenne
Headless CMS Plugin jusqu’à la version 2.0.4 présente une divulgation d’informations dans la route REST /wp-json/rae/v1/post, via la fonction get_required_post_data et la manipulation de post_id ou post_slug. La fiche NVD indique qu’un exploit a été rendu public; aucun élément fourni ne confirme une exploitation active observée.
WordPress
IdentifiantCVE-2026-121509
GravitéMoyenne
Exploitationrapportée, à confirmer
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-121509
Analyse technique
La vulnérabilité concerne la route REST /wp-json/rae/v1/post et les paramètres post_id/post_slug. La source indique que le fournisseur a été contacté sans réponse.
Impact, versions et correctif
Événement datéPublication de la fiche NVD le 2026-11-03, dans la période demandée; la source mentionne également la disponibilité publique d’un exploit.
ImpactDes informations peuvent être divulguées à distance; un exploit public est signalé par la fiche NVD.
Versions affectéesHeadless CMS Plugin jusqu’à 2.0.4 inclus
Exploitation activerapportée, à confirmer
PoC publicinconnu
CVSS5.5
Publication2026-11-03T21:17:37.023Z
Mise à jour2026-11-03T23:17:34.013Z
Action recommandée
Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible; limiter l’exposition de l’API concernée selon les besoins du site.
Sources
Priorisation DFS : P3 · 1 source(s).