Veille sécuritéCMS & e-commerce
P4Moyenne
ProfilePress, avant la version 4.17.4, ne vérifie pas qu’un plan d’adhésion est toujours actif lorsqu’un abonné modifie son abonnement au paiement. Un abonné peut choisir un plan désactivé, y compris un plan gratuit accordant un rôle ; mettre à jour le plugin vers la version 4.17.4 ou ultérieure.
WordPress
IdentifiantCVE-2026-123661
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif4.17.4
Source : NVD — CVE-2026-123661
Analyse technique
Le changement d’abonnement via le paiement ne contrôle pas que le plan sélectionné demeure actif.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-11T06:17:18.067Z, dans la période demandée. Sa mise à jour du 2026-11-12 est postérieure à la borne de fin et n’est pas retenue comme événement.
ImpactUn abonné peut souscrire à un plan que le propriétaire du site a désactivé, potentiellement avec attribution du rôle lié.
Versions affectéesVersions antérieures à 4.17.4
Version corrigée4.17.4
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.3
EPSS0,17% · percentile 6,3%
Publication2026-11-11T06:17:18.067Z
Mise à jour2026-11-11T06:17:18.067Z
Action recommandée
Mettre à jour ProfilePress vers la version 4.17.4 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).