Veille sécuritéCMS & e-commerce
P4Moyenne
Une requête non authentifiée vers EmbedPress peut déclencher un appel serveur à une API tierce avec les identifiants du site et enregistrer des entrées de cache contrôlées par l’attaquant. Cela permet notamment de consommer le quota de l’API et d’accumuler des données dans la base; mettre à jour vers la version 4.6.8 ou ultérieure.
WordPress
IdentifiantCVE-2026-85000
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif4.6.8
Source : NVD — CVE-2026-85000
Analyse technique
L’action ne comporte ni contrôle de capacité ni vérification de nonce; les entrées de cache peuvent être créées sans limite indiquée dans le résumé.
Impact, versions et correctif
Événement datéLa fiche NVD est datée du 2026-10-14 et décrit une vulnérabilité nouvellement publiée, et non une simple modification administrative; cette date se situe dans la période demandée.
ImpactConsommation du quota d’API tierce du site et accumulation d’enregistrements dans sa base de données.
Versions affectéesEmbedPress avant 4.6.8
Version corrigée4.6.8
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
EPSS0,17% · percentile 5,5%
Publication2026-10-14T07:17:03.420Z
Mise à jour2026-10-14T16:14:02.800Z
Action recommandée
Mettre à jour EmbedPress vers la version 4.6.8 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).