Veille sécuritéCMS & e-commerce
P3Élevée
Gmedia Photo Gallery présente une injection SQL temporelle via le paramètre gmedia__in, exploitable sans compte ni session. Le point d’entrée de l’application mobile ne vérifie ni l’activation de la fonctionnalité, ni un nonce, ni l’authentification WordPress ; aucune version corrective n’est indiquée.
WordPress
IdentifiantCVE-2026-96661
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-96661
Analyse technique
Le paramètre gmedia__in est insuffisamment échappé et la requête SQL n’est pas correctement préparée ; l’action library est accessible depuis le point d’entrée mobile non authentifié.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-14 ; cette date de publication est dans la période demandée.
ImpactUn attaquant non authentifié peut exploiter l’injection pour extraire des informations sensibles de la base de données.
Versions affectéesToutes les versions jusqu’à 1.25.1 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
EPSS0,45% · percentile 37,8%
Publication2026-10-14T04:19:01.350+00:00
Mise à jour2026-10-14T18:19:47.643+00:00
Action recommandée
Vérifier l’exposition du plugin et appliquer une version corrigée dès qu’elle est disponible ; en attendant, envisager sa désactivation.
Sources
Priorisation DFS : P3 · 1 source(s).