Veille sécuritéCMS & e-commerce
P1Critique
WP Duplicate jusqu’à la version 1.1.11 ne vérifie pas correctement une valeur d’authentification de requête et ne valide ni le chemin ni le type des fichiers téléversés. Cela permet à un attaquant non authentifié d’écrire des fichiers arbitraires sur le serveur et potentiellement d’exécuter du code à distance; la fiche signale une exploitation active.
WordPress
IdentifiantCVE-2026-123751
GravitéCritique
Exploitationconfirmée dans la nature
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-123751
Analyse technique
La source décrit l’écriture de fichiers arbitraires et une possibilité d’exécution de code à distance par un attaquant non authentifié.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-09T07:17:30.213Z, dans la période demandée, et signale une exploitation active. Sa mise à jour du 2026-11-10 est postérieure à la période et n’est pas retenue comme événement.
ImpactÉcriture de fichiers arbitraires et exécution de code à distance possibles, avec exploitation active signalée.
Versions affectéesWP Duplicate jusqu’à la version 1.1.11 incluse
Exploitation activeconfirmée dans la nature
PoC publicinconnu
CVSS9.8
EPSS0,28% · percentile 20,3%
Publication2026-11-09T07:17:30.213Z
Action recommandée
Désactiver ou retirer le plugin vulnérable et appliquer un correctif dès qu’il est disponible; vérifier le serveur à la recherche de fichiers non autorisés.
Sources
Priorisation DFS : P1 · 1 source(s).