CVE-2026-16304 : modification et publication de contenus via WP Event Manager

Veille sécuritéCMS & e-commerce

P4Non déterminée

WP Event Manager avant la version 3.4.2 ne valide pas correctement la propriété ni le type des identifiants de publications traités par un formulaire frontal. Un utilisateur abonné ou de rôle supérieur peut réattribuer à son compte la paternité de publications arbitraires et les forcer à être publiées, si la fonctionnalité concernée est activée ; aucune mesure de contournement n’est précisée.

IdentifiantCVE-2026-16304

GravitéNon déterminée

Exploitationnon connue / non déterminée

Correctif3.4.2

Source : NVD — CVE-2026-16304

Analyse technique

Le traitement d’un formulaire frontal ne vérifie pas suffisamment la propriété ou le type des identifiants de publication fournis. L’exploitation nécessite que la fonctionnalité frontale concernée soit activée.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-11-05 à 06:17:08.120Z, soit 08:17:08.120+02:00, dans la période demandée. L’horodatage de mise à jour NVD, à lui seul, n’est pas retenu comme événement ; l’inclusion repose sur la publication indiquée.

ImpactPrise de contrôle de contenus et divulgation publique possible de contenus privés ou brouillons.

Versions affectéesVersions antérieures à 3.4.2

Version corrigée3.4.2

Exploitation activenon connue / non déterminée

PoC publicinconnu

EPSS0,13% · percentile 2,8%

Publication2026-11-05T08:17:08.120+02:00

Mise à jour2026-11-05T17:06:27.350+02:00

Action recommandée

Mettre à jour WP Event Manager vers la version 3.4.2 ou ultérieure et désactiver la fonctionnalité frontale concernée si elle n’est pas nécessaire.

Sources

NVD — CVE-2026-16304

Priorisation DFS : P4 · 1 source(s).