MDJM Event Management et Mobile Events Manager : prise de contrôle de comptes, correctif non précisé

En bref

• Produit : extensions WordPress MDJM Event Management et Mobile Events Manager
• Versions affectées : jusqu'à la version 1.7.8.7 incluse
• Version corrigée : non précisé par l'éditeur
• Sévérité : élevée (score CVSS 8.8)
• CVE : CVE-2026-88799
• Exploitation active : inconnu
• Date de l'avis : 2026-11-06

Une vulnérabilité de contrôle d'accès a été publiée dans la base NVD pour les extensions WordPress MDJM Event Management et Mobile Events Manager, deux extensions de gestion d'événements et de prestations. Elle est référencée sous l'identifiant CVE-2026-88799 et classée en sévérité élevée.

Selon l'avis, la fonction de mise à jour du profil client ne vérifie ni que le compte visé appartient bien à l'utilisateur connecté, ni que celui-ci dispose des droits nécessaires. Un utilisateur authentifié disposant du rôle le plus faible, par exemple un abonné, peut ainsi modifier le mot de passe et l'adresse e-mail de n'importe quel autre compte du site, y compris celui d'un administrateur. Le résultat est une prise de contrôle complète du compte visé, et donc potentiellement du site.

Qui est concerné ?

Sont concernés les sites WordPress qui utilisent MDJM Event Management ou Mobile Events Manager jusqu'à la version 1.7.8.7 incluse. Le risque est plus important lorsque l'inscription publique est ouverte, ou lorsque des clients, abonnés ou prestataires disposent d'un compte sur le site : chacun de ces comptes représente un risque.

À la date de l'avis, aucune version corrigée n'est indiquée par l'éditeur, et aucune exploitation active n'est signalée dans le catalogue des vulnérabilités exploitées de la CISA. Cela ne signifie pas que la faille n'est pas exploitée : ce point reste inconnu.

Que faire ?

• Vérifiez si l'une des deux extensions est installée et quelle version est active sur chacun de vos sites.
• Mettez à jour dès qu'une version corrigée est publiée par l'éditeur ; en attendant, désactivez l'extension si elle n'est pas indispensable.
• Fermez temporairement l'inscription publique si elle n'est pas nécessaire et supprimez les comptes inutilisés.
• Vérifiez les journaux et la liste des utilisateurs : changements récents de mot de passe ou d'adresse e-mail sur des comptes administrateurs, connexions inhabituelles, nouveaux comptes à privilèges.
• En cas de compromission, restaurez une sauvegarde saine antérieure à l'incident, puis réinitialisez les mots de passe de tous les comptes administrateurs.

Pensez aussi à prévenir les clients ou utilisateurs dont l'adresse e-mail aurait pu être modifiée, afin qu'ils signalent toute anomalie de connexion.

Sources

• NVD : CVE-2026-88799 (avis de référence)
• WPScan : MDJM Event Management et Mobile Events Manager (recoupement)