Datawiza Proxy Auth Plugin : faille critique corrigée en 1.1.1

En bref

• Produit : Datawiza Proxy Auth Plugin, extension WordPress.
• Versions affectées : toutes les versions antérieures à 1.1.1.
• Version corrigée : 1.1.1.
• Sévérité : critique, score CVSS 9.8.
• CVE : CVE-2026-115214.
• Exploitation active : inconnu.
• Date de l'avis : 25 octobre 2026.

Une vulnérabilité critique touche l'extension WordPress Datawiza Proxy Auth Plugin, qui délègue l'authentification des utilisateurs à un proxy inverse. Selon la fiche publiée par la NVD le 25 octobre 2026, les versions antérieures à 1.1.1 font confiance à des informations d'identité et de rôle transmises avec la requête, sans vérifier qu'elles proviennent bien du proxy de confiance. Un attaquant non authentifié peut ainsi créer un compte administrateur WordPress et s'y connecter.

La faille est référencée sous l'identifiant CVE-2026-115214 et reçoit un score CVSS de 9.8, soit le niveau critique. Elle ne figure pas, à ce stade, au catalogue des vulnérabilités exploitées de la CISA, mais l'absence de signalement ne garantit pas l'absence d'attaques. La version 1.1.1 de l'extension corrige le problème.

Qui est concerné ?

Sont concernés tous les sites WordPress sur lesquels l'extension Datawiza Proxy Auth Plugin est installée dans une version antérieure à 1.1.1. Le nombre d'installations actives n'est pas précisé par l'éditeur.

L'enjeu est élevé : un compte administrateur donne le contrôle complet du site, de ses contenus, de ses utilisateurs et de ses extensions. Une compromission peut servir à installer une porte dérobée, à modifier des pages ou à récupérer des données. Les sites où l'extension est présente mais inutilisée ont intérêt à la mettre à jour ou à la supprimer.

Que faire ?

• Mettre à jour Datawiza Proxy Auth Plugin vers la version 1.1.1 depuis l'administration WordPress, ou supprimer l'extension si elle n'est plus utilisée.
• Vérifier la liste des comptes administrateurs et supprimer tout compte inconnu ou créé sans raison.
• Consulter les journaux du serveur web et de WordPress à la recherche de connexions administrateur inhabituelles.
• Contrôler les extensions, thèmes et fichiers récemment ajoutés ou modifiés.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'intrusion, puis changer les mots de passe et les clés de sécurité du site avant de remettre en ligne la version corrigée.

Si la mise à jour ne peut pas être appliquée tout de suite, désactiver l'extension en attendant reste la mesure la plus sûre, au prix d'une interruption de l'authentification déléguée au proxy.

Sources

• NVD : fiche CVE-2026-115214 (description, score et versions).
• WPScan : avis sur Datawiza Proxy Auth Plugin (recoupement).