Veille sécuritéCMS & e-commerce
P3Élevée
YaySMTP – WP Mail SMTP with Email Logs, Tracking & Reports ne valide pas suffisamment les fichiers transmis à sa fonction `putFile`. Les versions jusqu’à 2.7.7 inclus sont concernées; un utilisateur authentifié ayant au moins le rôle d’abonné peut téléverser un fichier potentiellement exécutable, avec risque d’exécution à distance selon la configuration du serveur.
WordPress
IdentifiantCVE-2026-92553
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-92553
Analyse technique
La fonction ne vérifie pas par liste d’autorisation le type de fichier et `sanitize_file_name()` n’élimine pas les extensions exécutables. La protection `.htaccess` peut être ignorée par nginx ou par Apache lorsque `AllowOverride None` est configuré.
Impact, versions et correctif
Événement datéLa fiche indique une première publication NVD le 2026-10-16 à 07:17:14.150Z, dans la période demandée; l’item est retenu sur cette date de publication, et non sur la seule date de mise à jour.
ImpactTéléversement de fichiers exécutables et exécution de code possible dans certaines configurations serveur.
Versions affectéesToutes les versions jusqu’à 2.7.7 inclus
ContournementDésactiver le téléversement concerné ou le plugin; ne pas compter uniquement sur le fichier `.htaccess` si le serveur est sous nginx ou si `AllowOverride` est désactivé.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.8
EPSS0,58% · percentile 46,3%
Publication2026-10-16T07:17:14.150Z
Mise à jour2026-10-16T15:17:35.653Z
Action recommandée
Désactiver la fonction ou le plugin jusqu’à installation d’un correctif et vérifier la configuration du serveur web.
Sources
Priorisation DFS : P3 · 1 source(s).