DoubleScale : faille d'envoi de fichiers, pas encore de version corrigée

En bref

• Produit : DoubleScale, extension WordPress de CRM tout-en-un (ventes, marketing, newsletter, réservation, helpdesk, automatisation).
• Versions affectées : toutes les versions jusqu'à la 1.5.1 incluse.
• Version corrigée : non précisé par l'éditeur.
• Sévérité : élevée, score CVSS 8.8.
• CVE : CVE-2026-111311.
• Exploitation active : inconnu.
• Date de l'avis : 16 octobre 2026.

De quoi s'agit-il ?

La fiche NVD publiée le 16 octobre 2026 décrit une vulnérabilité d'envoi de fichiers arbitraires dans l'extension DoubleScale pour WordPress. La fonction d'envoi de pièces jointes s'appuie sur une liste d'extensions autorisées qui laisse passer, au lieu de les refuser, les types de fichiers qu'elle ne reconnaît pas. La détection du type de fichier repose en outre uniquement sur les premiers octets du contenu, et le seul contrôle d'accès vérifie que l'utilisateur est connecté, sans examiner son rôle.

Conséquence : un utilisateur authentifié, dès le niveau abonné, peut déposer sur le serveur des fichiers potentiellement exécutables. La fiche indique que cela rend possible une exécution de code à distance, c'est-à-dire une prise de contrôle du site.

La faille n'est exploitable que si le module Helpdesk de l'extension est activé : le point d'accès de l'API REST concerné n'est enregistré que lorsque ce module est actif.

Qui est concerné ?

Sont concernés les sites WordPress qui utilisent DoubleScale jusqu'à la version 1.5.1 incluse avec le module Helpdesk activé. Le risque est plus élevé sur les sites qui autorisent l'inscription libre des visiteurs ou qui comptent de nombreux comptes clients, puisqu'un simple compte abonné suffit. Selon la description publiée, les sites où le module Helpdesk est désactivé ne sont pas exposés à cette faille.

À la date de l'avis, aucune exploitation active n'est signalée par les sources consultées : la vulnérabilité ne figure pas au catalogue des vulnérabilités exploitées de la CISA. L'absence de signalement ne signifie pas absence de risque.

Que faire ?

• Vérifier si DoubleScale est installé et si son module Helpdesk est actif sur chacun de vos sites.
• Mettre à jour l'extension dès que l'éditeur publie une version corrigée ; à ce jour, aucune n'est précisée par les sources.
• En attendant, désactiver le module Helpdesk, voire l'extension entière si elle n'est pas indispensable.
• Fermer temporairement l'inscription libre des utilisateurs et passer en revue les comptes existants, en supprimant ceux qui sont inconnus ou inutilisés.
• Vérifier les journaux du serveur et le dossier des fichiers envoyés à la recherche de fichiers inattendus, en particulier des scripts.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'intrusion, puis changer les mots de passe des comptes administrateurs et les clés de sécurité de WordPress.

Sources

• NVD : fiche CVE-2026-111311 (base nationale des vulnérabilités du NIST).
• Wordfence Threat Intelligence : fiche de la vulnérabilité DoubleScale.