Veille sécuritéCMS & e-commerce
P4Moyenne
WP Data Access jusqu’à la version 5.5.90 présente une injection SQL via le paramètre engine, accessible à des utilisateurs authentifiés à partir du rôle Subscriber. L’exploitation suppose qu’un administrateur ait configuré une page Data Project afin d’autoriser l’accès à un rôle de moindre privilège.
WordPress
IdentifiantCVE-2026-121536
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-121536
Analyse technique
Échappement insuffisant du paramètre et préparation insuffisante de la requête SQL; l’exploitation peut permettre l’extraction de données. Score CVSS indiqué : 5.3; vecteur non fourni.
Impact, versions et correctif
Événement datéFiche NVD publiée le 2026-11-07, dans la période; la mise à jour ultérieure du 2026-11-08 est postérieure à la borne et n’est pas retenue comme événement.
ImpactExtraction possible de données de la base sous réserve de la configuration requise.
Versions affectéesToutes les versions jusqu’à 5.5.90 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
EPSS0,26% · percentile 17,8%
Publication2026-11-07T07:17:04.210Z
Mise à jour2026-11-08T19:17:37.183Z
Action recommandée
Mettre à jour vers une version corrigée lorsqu’elle est disponible et vérifier les permissions des pages Data Project.
Sources
Priorisation DFS : P4 · 1 source(s).