Veille sécuritéCMS & e-commerce
P4Moyenne
ProfilePress ne limite pas les filtres de rôle et de métadonnées utilisateur des annuaires aux valeurs configurées par l’administrateur. Dans les versions antérieures à 4.17.6, un utilisateur non authentifié peut retrouver des comptes qu’un annuaire devait masquer et consulter des métadonnées de ces utilisateurs.
WordPress
IdentifiantCVE-2026-123659
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif4.17.6
Source : NVD — CVE-2026-123659
Analyse technique
Les filtres acceptés par les annuaires ne sont pas restreints aux paramètres définis par l’administrateur.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-11T08:17:17.713Z, dans la période demandée ; sa mise à jour ultérieure n’est pas retenue comme événement.
ImpactUn utilisateur non authentifié peut accéder à des comptes et à des métadonnées que l’annuaire devait dissimuler.
Versions affectéesProfilePress antérieur à 4.17.6
Version corrigée4.17.6
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
EPSS0,31% · percentile 24,0%
Publication2026-11-11T08:17:17.713Z
Mise à jour2026-11-12T18:49:18.840Z
Action recommandée
Mettre à jour ProfilePress vers la version 4.17.6 ou une version ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).