FICHE CVE

CVE-2026-97331

Publiée le 2026-10-07 · Dernière modification le 2026-10-07

🇫🇷 EN BREF

Les sites WordPress utilisant le plugin User Private Files avant la version 2.1.9 sont concernés. Tout utilisateur connecté, même ceux disposant des permissions minimales d'« Abonné », peut récupérer les adresses e-mail de tout autre compte enregistré, y compris celles des administrateurs. Cette action peut être effectuée via le réseau sans aucune interaction particulière de l'utilisateur.

CVSS 3.14.3 MOYENNE

Type de faiblesse

Exposition d'informations · CWE-200

Publiée2026-10-07

Dernière modification2026-10-07

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéFaible

Impact sur l'intégritéAucun

Impact sur la disponibilitéAucun

RÉFÉRENCES

contact@wpscan.com

Description officielle du NVD (en anglais)

The User Private Files WordPress plugin before 2.1.9 does not validate that a supplied user belongs to the document being operated on before returning that user's email address, allowing any authenticated user, such as a Subscriber, to obtain the email address of any registered account, including administrators.