Code Snippets : faille de contrôle d'accès multisite corrigée en 4.1.0

En bref

• Produit : Code Snippets, plugin pour WordPress.
• Versions affectées : toutes les versions antérieures à 4.1.0.
• Version corrigée : 4.1.0.
• Sévérité : non précisé par l'éditeur (aucun score CVSS publié à ce jour par le NVD).
• CVE : CVE-2026-106468.
• Exploitation active : inconnu.
• Date de l'avis : 11 novembre 2026.

Le plugin Code Snippets permet d'ajouter des extraits de code PHP, CSS ou JavaScript à un site WordPress depuis l'administration, sans modifier les fichiers du thème. Une faille de contrôle d'accès, référencée CVE-2026-106468 et publiée par le NVD le 11 novembre 2026, touche les versions antérieures à 4.1.0. Elle a été corrigée dans la version 4.1.0.

D'après la description de l'avis, sur une installation WordPress multisite, la fonction d'import d'extraits ne vérifiait pas que l'utilisateur disposait des droits d'administration du réseau avant d'agir sur les extraits partagés par l'ensemble du réseau. Un administrateur d'un seul sous-site, sans droits de gestion du réseau, pouvait ainsi créer, écraser ou désactiver des extraits appliqués à tous les sites du réseau.

Comme ces extraits contiennent du code exécuté par WordPress, la possibilité de les modifier à l'échelle du réseau dépasse largement les droits normalement accordés à l'administrateur d'un sous-site. Aucun score de sévérité n'a toutefois été attribué à ce jour, et rien n'indique une exploitation active : la faille ne figure pas dans le catalogue des vulnérabilités exploitées de la CISA.

Qui est concerné ?

Sont concernés les sites WordPress en mode multisite sur lesquels le plugin Code Snippets est installé dans une version antérieure à 4.1.0. Le risque est réel surtout lorsque des personnes différentes administrent les sous-sites : réseau d'agences, de franchises, d'établissements ou de sites clients hébergés sur une même installation.

Les installations WordPress classiques, à site unique, ne sont pas concernées par ce scénario d'après la description publiée : la faille repose sur l'écart de droits entre administrateur de sous-site et administrateur du réseau. La mise à jour reste recommandée pour toutes les installations.

Que faire ?

• Mettre à jour Code Snippets vers la version 4.1.0 ou une version ultérieure, sur l'ensemble du réseau.
• Passer en revue la liste des extraits appliqués à tout le réseau : repérer tout extrait inconnu, récemment modifié ou désactivé sans raison.
• Vérifier les journaux d'activité et d'accès à l'administration des sous-sites, en particulier les imports d'extraits.
• Revoir la liste des administrateurs de sous-sites et retirer les comptes qui ne sont plus nécessaires.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'incident, puis appliquer la mise à jour avant de remettre le réseau en ligne et changer les mots de passe des comptes administrateurs.

Sources

• NVD : CVE-2026-106468 (avis de référence).
• WPScan : fiche de la vulnérabilité Code Snippets (recoupement).
• WordPress.org : page du plugin Code Snippets (page officielle du plugin).