Bit integrations : faille d'élévation de privilèges jusqu'à la 2.10.6

En bref

• Produit : Bit integrations, extension WordPress d'automatisation (formulaires, webhooks, tableurs, CRM, e-mails).
• Versions affectées : toutes les versions jusqu'à la 2.10.6 incluse.
• Version corrigée : non précisé par l'éditeur.
• Sévérité : élevée, score CVSS 7.5.
• CVE : CVE-2026-104749.
• Exploitation active : inconnu.
• Date de l'avis : 14 octobre 2026.

Une vulnérabilité d'élévation de privilèges a été publiée le 14 octobre 2026 dans la base NVD pour l'extension WordPress Bit integrations. Elle porte l'identifiant CVE-2026-104749 et un score CVSS de 7.5. Selon l'avis, un attaquant non authentifié peut, dans certaines conditions, remplacer le mot de passe d'un administrateur et prendre le contrôle complet de son compte.

Nature de la faille

L'extension conserve un journal des exécutions de ses flux d'automatisation, y compris celles déclenchées par des visiteurs anonymes via un formulaire public. D'après la description publiée, les valeurs saisies dans ces formulaires sont enregistrées telles quelles dans ce journal, sans contrôle des droits de l'auteur de la requête.

Le problème survient lorsqu'un administrateur relance une exécution en échec depuis l'écran des journaux de l'extension. Les données enregistrées sont alors rejouées dans la session de cet administrateur, sans vérifier qui les avait produites à l'origine. Si le flux concerné met à jour un compte utilisateur, c'est le compte de l'administrateur qui est modifié, avec le mot de passe choisi par l'attaquant.

L'exploitation n'est pas automatique. L'avis mentionne deux conditions cumulatives : un administrateur doit avoir configuré un flux qui relie un champ de formulaire public au mot de passe dans l'action de mise à jour d'utilisateur, puis relancer lui-même l'entrée du journal produite par la soumission anonyme. Ces conditions réduisent le nombre de sites réellement exposés, mais la conséquence, la perte du compte administrateur, reste grave.

Qui est concerné ?

Sont concernés les sites WordPress qui utilisent Bit integrations en version 2.10.6 ou antérieure. Le risque est concret pour les sites qui emploient l'action de mise à jour d'utilisateur alimentée par un formulaire accessible aux visiteurs, et dont les administrateurs relancent régulièrement les exécutions en échec depuis les journaux de l'extension.

Les agences et freelances qui maintiennent plusieurs sites clients ont intérêt à inventorier rapidement les installations de cette extension et les flux configurés : ce type de paramétrage est souvent hérité d'un projet antérieur et rarement relu.

Que faire ?

• Mettre à jour Bit integrations vers la dernière version publiée par l'éditeur ; le numéro de la version corrigée est non précisé par l'éditeur à la date de l'avis.
• En attendant, ne pas relancer d'exécutions en échec depuis l'écran des journaux de l'extension, en particulier celles issues de soumissions anonymes.
• Passer en revue les flux existants et désactiver ceux qui mettent à jour un compte utilisateur à partir d'un formulaire public.
• Vérifier les journaux : liste des comptes administrateurs, connexions récentes, changements de mot de passe inattendus.
• En cas de compromission, réinitialiser les mots de passe des administrateurs et restaurer une sauvegarde saine antérieure à l'incident.

Sources

• NVD : fiche CVE-2026-104749 (avis de référence : description, score et versions affectées).
• Wordfence Threat Intelligence : fiche de la vulnérabilité (recoupement).