Veille sécuritéCMS & e-commerce
P4Moyenne
Photo Engine (Media Organizer & Lightroom), avant la version 6.6.2, ne vérifie pas qu’un utilisateur est autorisé à supprimer les médias d’une collection avant de les supprimer avec celle-ci. Un utilisateur ayant le rôle Author ou supérieur peut ainsi effacer définitivement des médias synchronisés appartenant à d’autres utilisateurs, y compris des administrateurs ; mettre à jour le plugin vers la version 6.6.2 ou ultérieure.
WordPress
IdentifiantCVE-2026-123666
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif6.6.2
Source : NVD — CVE-2026-123666
Analyse technique
La suppression d’une collection ne contrôle pas correctement les droits sur les médias qu’elle contient.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-11T06:17:18.200Z, dans la période demandée. Sa mise à jour du 2026-11-12 est postérieure à la borne de fin et n’est pas retenue comme événement.
ImpactUn utilisateur Author ou supérieur peut supprimer définitivement les médias synchronisés d’autres utilisateurs.
Versions affectéesVersions antérieures à 6.6.2
Version corrigée6.6.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.9
EPSS0,17% · percentile 6,3%
Publication2026-11-11T06:17:18.200Z
Mise à jour2026-11-11T06:17:18.200Z
Action recommandée
Mettre à jour Photo Engine (Media Organizer & Lightroom) vers la version 6.6.2 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).