Veille sécuritéCMS & e-commerce
P4Moyenne
Advanced Appointment Booking & Scheduling avant 2.7 ne respecte pas le paramètre de WordPress désactivant l’inscription d’utilisateurs lors de la création de comptes via un shortcode public. Un attaquant non authentifié peut créer des comptes et être connecté automatiquement, même lorsque l’inscription est désactivée sur le site.
WordPress
IdentifiantCVE-2026-81422
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif2.7
Source : NVD — CVE-2026-81422
Analyse technique
La création de comptes est accessible au moyen d’un shortcode publiquement accessible.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-09T07:17:33.060Z, dans la période demandée. Sa mise à jour du 2026-11-10 est postérieure à la période et n’est pas retenue comme événement.
ImpactUn attaquant non authentifié peut créer un compte et ouvrir une session malgré la désactivation de l’inscription.
Versions affectéesAdvanced Appointment Booking & Scheduling avant 2.7
Version corrigée2.7
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
EPSS0,14% · percentile 3,1%
Publication2026-11-09T07:17:33.060Z
Action recommandée
Mettre à jour le plugin vers la version 2.7 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).