Veille sécurité · page 3
Chaque alerte dit quel composant est touché, quelles versions, et comment s’en protéger. Rédigée à partir des avis publiés, relue avant publication.
WordPress
Une faille de contournement d'authentification (CVE-2026-96228, CVSS 8.1) touche l'extension WordPress SSL Wireless SMS Notification jusqu'à la 3.8.1 incluse : un attaquant qui connaît le numéro de téléphone d'un utilisateur peut prendre le contrôle de son compte. Aucune version corrigée n'est annoncée.
29 octobre 2026 · 3 min
WordPress
Une faille XSS stockée exploitable sans authentification touche l'extension WordPress Prime Slider dans toutes ses versions jusqu'à la 4.7.2 incluse (CVE-2026-111111, CVSS 7,2). Aucune version corrigée n'est précisée par les sources à ce jour : voici qui est concerné et comment réagir.
29 octobre 2026 · 3 min
WordPress
Une faille de type cross-site scripting stockée (CVE-2026-109999, CVSS 7.2) touche l'extension WordPress AI Marketing Expert dans toutes ses versions jusqu'à 1.2.8 incluse. Un visiteur non authentifié peut y enregistrer du script qui s'exécute ensuite dans le tableau de bord d'un administrateur. Aucune version corrigée n'est précisée par les sources à ce stade.
29 octobre 2026 · 3 min
WordPress
Une faille d'élévation de privilèges touche l'extension WordPress aBlocks jusqu'à la version 2.17.0 incluse : un contributeur connecté peut obtenir le rôle d'éditeur. Score CVSS 8.8, version corrigée non précisée par l'éditeur. Qui est concerné et que faire.
29 octobre 2026 · 3 min
WordPress
Une faille critique (CVE-2026-110956, CVSS 9.8) de l'extension WordPress asVereinbase permet à un attaquant non authentifié de se connecter comme n'importe quel utilisateur, administrateur compris. La version 1.1.8 corrige le problème.
29 octobre 2026 · 3 min
WordPress
L'extension WordPress Datawiza Proxy Auth Plugin, avant la version 1.1.1, permet à un attaquant non authentifié de créer un compte administrateur et de s'y connecter (CVE-2026-115214, CVSS 9.8). Mettez à jour vers la version 1.1.1 et vérifiez vos comptes administrateurs.
29 octobre 2026 · 3 min
WordPress
Une faille d'écriture de fichier arbitraire (CVE-2026-104068, CVSS 7.2) touche l'extension WordPress JetBackup avant la version 3.1.24.10. Elle passe par l'import et la restauration de sauvegardes et requiert un compte administrateur. Mettez à jour vers la version corrigée.
29 octobre 2026 · 3 min
WordPress
La CVE-2026-94267 touche Advanced Custom Fields: Extended et sa version PRO avant 0.9.2.8 : faute de contrôle des droits sur certains formulaires front-end, un visiteur non authentifié peut écraser des contenus et obtenir l'exécution de code sur le serveur. Mettez à jour vers la version 0.9.2.8.
29 octobre 2026 · 3 min
WordPress
Une injection SQL exploitable sans authentification touche l'extension WordPress NotificationX, de la version 2.0.0 jusqu'à la 2.3.12 exclue. Score CVSS : 8.2. La version 2.3.12 corrige la faille : vérifiez la version installée sur vos sites et mettez à jour.
29 octobre 2026 · 3 min
WordPress
Une partie des paquets Rank Math SEO PRO 3.0.123 distribués pendant une fenêtre de quelques heures contenait un logiciel malveillant (CVE-2026-111862, CVSS 9.8). L'éditeur a publié la version 3.0.124 et demande aux sites ayant activé un paquet affecté de se considérer comme compromis.
29 octobre 2026 · 3 min
WordPress
Une vulnérabilité d'élévation de privilèges (CVE-2026-109447, CVSS 8,1) touche l'extension WordPress User Profile Builder jusqu'à la 4.0.3 incluse. Sous certaines conditions, un attaquant non authentifié peut obtenir un compte administrateur. Voici qui est concerné et que faire.
29 octobre 2026 · 3 min
WordPress
Une vulnérabilité d'envoi de fichiers arbitraires (CVE-2026-111311, CVSS 8.8) touche l'extension WordPress DoubleScale jusqu'à la version 1.5.1 incluse, lorsque le module Helpdesk est activé. Un simple compte abonné peut déposer des fichiers potentiellement exécutables. Aucune version corrigée n'est précisée à ce jour : désactivez le module Helpdesk en attendant.
29 octobre 2026 · 3 min