wpForo Forum est vulnérable à une injection SQL jusqu’à la version 3.2.1 incluse, via le paramètre data, lorsque certains champs de formulaire de recherche sont configurés. Un attaquant non authentifié peut alors extraire des informations sensibles de la base de données; mettez à jour le module dès qu’un correctif est disponible.
Source : NVD — CVE-2026-95870
Analyse technique
La faille concerne le paramètre data, insuffisamment échappé et utilisé dans une requête SQL. Son exploitation nécessite un champ de formulaire de sujet recherchable de type case à cocher, ou un champ select/autocomplete avec isMultiChoice activé.
Impact, versions et correctif
Action recommandée
Mettre à jour wpForo Forum dès qu’un correctif est disponible et vérifier si la configuration des formulaires concernés est présente.
Sources
Priorisation DFS : P3 · 1 source(s).