Sommaire
BookIt, le plugin de réservation et de calendrier de rendez-vous de StellarWP (Liquid Web), est touché par une faille d’injection SQL notée 9,3/10. Elle concerne toutes les versions jusqu’à la 2.6.0.6 et permet à un attaquant non authentifié d’interroger la base de données du site — y compris, selon Patchstack, de lire, modifier ou supprimer son contenu, comptes utilisateurs et données privées compris.
La faille, référencée CVE-2026-62048, a été publiée dans la base Patchstack le 30 octobre et reprise dans le catalogue CVE le 1er novembre. Le correctif est disponible : mettez à jour BookIt vers la version 2.6.0.7 ou supérieure sans attendre. Patchstack a aussi déployé une règle d’atténuation pour ses utilisateurs en attendant la mise à jour. Aucune exploitation en conditions réelles ni aucun code d’exploitation public n’étaient confirmés au moment de la publication.
Lento dit : une injection SQL sans même besoin de compte, c’est la porte grande ouverte sur votre base de données. La mise à jour prend deux minutes, l’attaque aussi. Faites-la maintenant, pas après le premier piratage.
