MDJM Event Management et Mobile Events Manager : faille XSS stockée, correctif non précisé

En bref

• Produit : extensions WordPress MDJM Event Management et Mobile Events Manager
• Versions affectées : jusqu'à la version 1.7.8.7 incluse
• Version corrigée : non précisé par l'éditeur
• Sévérité : élevée (score CVSS 8)
• CVE : CVE-2026-88801
• Exploitation active : inconnu
• Date de l'avis : 6 novembre 2026

Une vulnérabilité référencée CVE-2026-88801 a été publiée par la base américaine NVD le 6 novembre 2026. Elle concerne deux extensions WordPress de gestion d'événements, MDJM Event Management et Mobile Events Manager, jusqu'à la version 1.7.8.7 incluse. Il s'agit d'une faille de type XSS stockée (injection de script persistante) : elle ne touche pas le cœur de WordPress, mais uniquement les sites sur lesquels l'une de ces extensions est installée.

D'après l'avis, les extensions créent un rôle WordPress à partir d'un nom transmis dans la requête sans vérifier les droits de l'utilisateur ni la présence d'un jeton de sécurité (nonce), puis enregistrent ce nom sans l'échapper. Résultat : n'importe quel utilisateur authentifié, y compris un simple abonné, peut faire enregistrer du script qui s'exécutera lorsqu'un administrateur ouvrira l'un des écrans standard de gestion des utilisateurs. Le script s'exécute alors avec les droits de l'administrateur, ce qui peut ouvrir la voie à une prise de contrôle du site.

Qui est concerné ?

Sont concernés les sites WordPress qui utilisent MDJM Event Management ou Mobile Events Manager dans une version égale ou antérieure à 1.7.8.7. Le risque est plus élevé si le site autorise l'inscription publique des visiteurs, puisqu'un compte de niveau abonné suffit. Aucune exploitation active n'est signalée à ce jour : la vulnérabilité ne figure pas au catalogue des failles activement exploitées de la CISA, mais cela ne garantit pas l'absence d'attaques.

Les agences et freelances qui maintiennent un parc de sites ont intérêt à vérifier rapidement la présence de ces extensions sur chacun d'eux.

Que faire ?

• Identifier les sites où MDJM Event Management ou Mobile Events Manager est installé, et noter la version.
• Mettre à jour vers une version corrigée dès qu'elle est publiée : aucune version corrigée n'est précisée par l'éditeur à la date de l'avis.
• En attendant, si l'extension n'est pas indispensable, la désactiver ; sinon, fermer temporairement l'inscription publique des utilisateurs.
• Contrôler la liste des rôles et des comptes utilisateurs pour repérer toute entrée inhabituelle, et vérifier les journaux d'activité et d'accès à l'administration.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'incident, puis changer les mots de passe des administrateurs.

Sources

• NVD : fiche CVE-2026-88801 (avis de référence)
• WPScan : fiche de la vulnérabilité (base de vulnérabilités WordPress, recoupement)