Veille sécuritéCMS & e-commerce
P3Élevée
Rank Math SEO est vulnérable à une injection d’objets PHP via la désérialisation d’une entrée non fiable dans un point de terminaison REST. Un utilisateur authentifié de niveau Contributor ou supérieur peut, en présence de la chaîne POP mentionnée, parvenir à l’exécution de code à distance.
WordPress
IdentifiantCVE-2026-1928
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-1928
Analyse technique
Désérialisation d’entrée non fiable dans le point de terminaison REST updateMeta ; la chaîne POP peut permettre d’écrire un webshell dans le répertoire uploads.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-28T04:18:02.320Z, dans la période retenue. Sa mise à jour indiquée est postérieure à la période.
ImpactInjection d’objets PHP pouvant mener à l’exécution de code à distance.
Versions affectéesRank Math SEO jusqu’à et y compris 1.0.276
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.8
EPSS0,54% · percentile 45,2%
Publication2026-10-28T04:18:02.320Z
Mise à jour2026-10-29T02:16:51.953Z
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible.
Sources
Priorisation DFS : P3 · 1 source(s).