Veille sécuritéCMS & e-commerce
P3Élevée
Dans affiliate-toolkit, un utilisateur ayant au moins le rôle Contributor peut fournir un modèle que le moteur de rendu embarqué compile et exécute comme du PHP. Mettre à jour le plugin vers la version 3.9.1 ou ultérieure.
WordPress
IdentifiantCVE-2026-86787
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif3.9.1
Source : NVD — CVE-2026-86787
Analyse technique
L’absence de restriction sur le corps du modèle permet l’exécution de code PHP arbitraire sur le serveur.
Impact, versions et correctif
Événement datéLa fiche NVD est datée du 2026-10-14 et décrit une vulnérabilité nouvellement publiée, et non une simple modification administrative; cette date se situe dans la période demandée.
ImpactExécution de code PHP arbitraire sur le serveur par un utilisateur ayant le rôle Contributor ou supérieur.
Versions affectéesaffiliate-toolkit avant 3.9.1
Version corrigée3.9.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
EPSS0,19% · percentile 7,6%
Publication2026-10-14T07:17:03.643Z
Mise à jour2026-10-14T16:14:02.800Z
Action recommandée
Mettre à jour affiliate-toolkit vers la version 3.9.1 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).