asVereinbase : contournement d'authentification corrigé en 1.1.8

En bref

• Produit : asVereinbase, extension WordPress.
• Versions affectées : toutes les versions antérieures à 1.1.8.
• Version corrigée : 1.1.8.
• Sévérité : critique, score CVSS 9.8.
• CVE : CVE-2026-110956.
• Exploitation active : inconnu.
• Date de l'avis : 24 octobre 2026.

Une faille critique touche l'extension WordPress asVereinbase. Selon la fiche publiée par la NVD le 24 octobre 2026, les versions antérieures à 1.1.8 n'exigent ni mot de passe valide ni second facteur authentique avant d'ouvrir une session. Un attaquant non authentifié peut ainsi se connecter sous l'identité de n'importe quel utilisateur du site, y compris un administrateur. La version 1.1.8 corrige le problème.

Qui est concerné ?

Sont concernés tous les sites WordPress sur lesquels l'extension asVereinbase est installée dans une version antérieure à 1.1.8. Le défaut porte sur l'étape d'authentification elle-même : il n'est pas nécessaire de disposer d'un compte sur le site pour l'exploiter, ce qui explique le score CVSS de 9.8 attribué par la NVD.

Les conséquences d'une prise de contrôle d'un compte administrateur sont lourdes : modification ou suppression de contenus, création de nouveaux comptes, installation d'extensions malveillantes, accès aux données personnelles stockées par le site, notamment celles des membres gérés par l'extension. Le nombre d'installations actives n'est pas précisé par l'éditeur.

À la date de rédaction, aucune exploitation active n'est signalée par les sources consultées, et la vulnérabilité ne figure pas au catalogue des failles exploitées de la CISA. Cela ne signifie pas qu'aucune tentative n'a eu lieu : une faille de contournement d'authentification est simple à cibler une fois connue, et ce type de défaut est en général rapidement intégré aux outils d'attaque automatisés.

Que faire ?

• Mettre à jour asVereinbase vers la version 1.1.8 sans attendre, depuis le tableau de bord WordPress ou votre outil de déploiement habituel.
• Si la mise à jour ne peut pas être appliquée tout de suite, désactiver l'extension jusqu'à ce qu'elle le soit.
• Vérifier la liste des comptes utilisateurs, en particulier les administrateurs : tout compte inconnu ou récemment créé doit être examiné.
• Consulter les journaux de connexion et les journaux du serveur web à la recherche de connexions inhabituelles, notamment sur des comptes à privilèges.
• Renouveler les mots de passe des comptes administrateurs et invalider les sessions ouvertes après la mise à jour.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'intrusion, puis appliquer la version corrigée avant de remettre le site en ligne.

Après la mise à jour, contrôlez que la version installée est bien 1.1.8 dans la liste des extensions et que la connexion fonctionne normalement pour vos utilisateurs.

Sources

• NVD : fiche CVE-2026-110956 (avis de référence, score CVSS 9.8).
• WPScan : fiche de la vulnérabilité asVereinbase (source de recoupement).