FICHE CVE

CVE-2026-47365

Publiée le 2026-06-12 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les serveurs cPanel et WHM utilisant des versions de WordPress Toolkit antérieures à la 6.11.0 sont affectés par une faille d'injection d'arguments. Un attaquant disposant d'un accès authentifié basique au système peut contourner l'isolation des locataires (tenants) pour exécuter des commandes CLI arbitraires en tant qu'autre utilisateur. Cette attaque peut être réalisée à distance via le réseau et ne nécessite l'interaction d'aucun autre utilisateur pour réussir.

CVSS 3.19.9 CRITIQUE

Type de faiblesse

CWE-88

Publiée2026-06-12

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeModifiée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

support@hackerone.com

Description officielle du NVD (en anglais)

Argument injection vulnerability in WordPress Toolkit before 6.11.0 as used in cPanel & WHM, allows remote authenticated users to bypass cross-tenant authorization and execute arbitrary wp-toolkit CLI commands as another account.