MailOptin : faille critique de prise de contrôle de comptes jusqu'à 1.2.78.6

En bref

• Produit : MailOptin (extension WordPress de pop-ups, formulaires d'inscription et lettres d'information)
• Versions affectées : toutes les versions jusqu'à 1.2.78.6 incluse
• Version corrigée : non précisé par l'éditeur
• Sévérité : critique (CVSS 9,8)
• CVE : CVE-2026-109515
• Exploitation active : inconnu
• Date de l'avis : 16 octobre 2026

Le 16 octobre 2026, la base NVD a publié la fiche CVE-2026-109515, qui concerne l'extension WordPress MailOptin. Il s'agit d'une élévation de privilèges : un visiteur non authentifié peut modifier le mot de passe d'un compte existant et en prendre le contrôle, y compris celui d'un administrateur. La conséquence décrite par l'avis est une compromission complète du site.

La faille tient à un défaut de validation dans le traitement des inscriptions : des données envoyées par le visiteur peuvent remplacer la correspondance de champs définie par l'administrateur et atteindre directement la fonction WordPress de création ou de mise à jour des comptes. Aucune authentification ni vérification de droits n'est exigée pour atteindre le point d'entrée concerné.

Qui est concerné ?

Sont exposés les sites WordPress qui utilisent MailOptin dans une version allant jusqu'à 1.2.78.6 incluse. Selon l'avis, l'exploitation suppose qu'un formulaire MailOptin de type « inscription utilisateur WordPress » soit publié quelque part sur le site. Cette condition limite le périmètre, mais elle ne protège pas vraiment : l'identifiant du formulaire est visible dans le code source de la page, donc à la portée de n'importe quel visiteur.

Les sites qui utilisent MailOptin uniquement pour des formulaires reliés à un service d'e-mailing, sans formulaire d'inscription utilisateur, ne remplissent pas la condition décrite. Ils restent toutefois sur une version signalée comme vulnérable et doivent suivre l'évolution de l'extension.

Que faire ?

• Vérifier la version de MailOptin installée sur chaque site du parc.
• Mettre à jour l'extension dès qu'une version publiée après 1.2.78.6 contient le correctif. La version corrigée n'est pas précisée par l'éditeur à la date de l'avis ; une modification du code est visible dans le dépôt WordPress.org (voir les sources).
• En attendant, dépublier ou désactiver les formulaires MailOptin d'inscription utilisateur WordPress, ou désactiver l'extension si elle n'est pas indispensable.
• Contrôler la liste des comptes administrateurs et vérifier les journaux de connexion à la recherche de changements de mot de passe ou de connexions inattendus.
• En cas de compromission, restaurer une sauvegarde saine antérieure à l'intrusion, puis renouveler les mots de passe de tous les comptes à privilèges.

Sources

• NVD : CVE-2026-109515 (avis de référence, score CVSS 9,8)
• Wordfence Threat Intelligence : fiche MailOptin
• WordPress.org Trac : modification du code de MailOptin