FICHE CVE

CVE-2026-7522

Publiée le 2026-05-20 · Dernière modification le 2026-07-24

🇫🇷 EN BREF

Les sites WordPress utilisant l'extension Advanced Database Cleaner – Premium (version 4.1.0 et versions antérieures) sont vulnérables à une faille d'inclusion de fichier local. Un attaquant disposant d'un compte basique — même avec un rôle d'Abonné — peut exécuter des fichiers PHP arbitraires déjà présents sur votre serveur pour voler des données sensibles ou prendre le contrôle total du site. Cette attaque peut être réalisée à distance via le réseau et ne nécessite aucune interaction de la part de l'utilisateur.

CVSS 3.18.8 ÉLEVÉE

Type de faiblesse

Inclusion de fichier PHP · CWE-98

Publiée2026-05-20

Dernière modification2026-07-24

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

The Advanced Database Cleaner – Premium plugin for WordPress is vulnerable to Local File Inclusion in versions up to, and including, 4.1.0 via the 'template' parameter. This makes it possible for authenticated attackers, with Subscriber-level access and above, to include and execute arbitrary .php files on the server, allowing the execution of any PHP code in those files. This can be used to bypass access controls, obtain sensitive data, or achieve code execution in cases where .php file types can be uploaded and included.