File Upload to Order : suppression de fichiers sans authentification corrigée en 1.1.4

En bref

• Produit : File Upload to Order, extension WordPress.
• Versions affectées : toutes les versions antérieures à 1.1.4.
• Version corrigée : 1.1.4.
• Sévérité : critique, score CVSS 10 sur 10 selon le NVD.
• CVE : CVE-2026-107594.
• Exploitation active : inconnu.
• Date de l'avis : 14 octobre 2026.

Le NVD a publié le 14 octobre 2026 un avis concernant l'extension WordPress File Upload to Order. Avant la version 1.1.4, l'extension supprime un fichier sans vérifier ni restreindre le chemin qu'elle reçoit, alors que ce chemin provient de données que l'attaquant peut contrôler. L'action qui déclenche cette suppression est en outre accessible sans authentification.

Concrètement, n'importe quel visiteur, sans compte sur le site, peut faire effacer des fichiers arbitraires sur le serveur. L'avis précise que la suppression de certains fichiers peut conduire à la compromission complète du site. C'est ce qui explique le score maximal attribué à cette faille : aucune condition préalable, aucun identifiant, et un impact qui dépasse la simple indisponibilité.

Qui est concerné ?

Sont concernés tous les sites WordPress sur lesquels l'extension File Upload to Order est installée dans une version antérieure à 1.1.4. Le nombre d'installations actives n'est pas précisé par l'éditeur.

Les agences et les freelances qui maintiennent plusieurs sites clients ont intérêt à faire l'inventaire de leur parc : une extension installée pour un besoin ponctuel puis oubliée reste exploitable tant qu'elle est présente sur le serveur. À la date de publication de cet article, aucune exploitation active n'est signalée dans le catalogue de la CISA, ce qui ne garantit pas son absence.

Que faire ?

• Mettre à jour File Upload to Order vers la version 1.1.4 depuis le tableau de bord WordPress ou par votre outil de déploiement habituel.
• Si l'extension n'est plus utile, la désactiver puis la supprimer plutôt que de la laisser en place.
• Faire une sauvegarde complète avant toute intervention, afin de pouvoir revenir en arrière si la mise à jour pose un problème.
• Vérifier les journaux du serveur web à la recherche de requêtes inhabituelles visant l'extension, et contrôler que les fichiers essentiels du site sont toujours présents et intacts.
• En cas de fichiers manquants, de comportement anormal ou de signes de compromission, restaurer une sauvegarde saine antérieure à l'incident, appliquer immédiatement la version corrigée, puis changer les mots de passe des comptes administrateurs et de la base de données.

Tant que la mise à jour n'est pas appliquée, la désactivation de l'extension reste la mesure la plus sûre : la faille ne demandant aucune authentification, aucun réglage de compte ne suffit à la neutraliser.

Sources

• NVD : fiche CVE-2026-107594 (avis de référence, score CVSS et description).
• WPScan : fiche de la vulnérabilité File Upload to Order (recoupement).