MDJM Event Management et Mobile Events Manager : faille critique, correctif non précisé

En bref

• Produit : extensions WordPress MDJM Event Management et Mobile Events Manager
• Versions affectées : jusqu'à la 1.7.8.7 incluse
• Version corrigée : non précisé par l'éditeur
• Sévérité : critique, score CVSS 9.1
• CVE : CVE-2026-88800
• Exploitation active : inconnu
• Date de l'avis : 6 novembre 2026

Une vulnérabilité critique, référencée CVE-2026-88800, touche deux extensions WordPress de gestion d'événements : MDJM Event Management et Mobile Events Manager. Selon la fiche publiée par la base nationale des vulnérabilités américaine (NVD) le 6 novembre 2026, un attaquant non authentifié peut supprimer n'importe quel rôle WordPress, y compris le rôle administrateur.

La conséquence est lourde : une fois le rôle supprimé, les utilisateurs qui le portaient perdent durablement leurs droits. Un site peut ainsi se retrouver sans aucun compte capable de l'administrer depuis le tableau de bord.

De quoi s'agit-il ?

D'après l'avis, les extensions traitent une demande de suppression de rôle à chaque chargement de page, sans vérifier les droits de l'utilisateur et sans jeton de sécurité (nonce). Le garde-fou censé protéger les rôles auxquels des utilisateurs sont rattachés ne contrôle pas la même information que celle qui désigne le rôle à supprimer, ce qui le rend inopérant.

Il s'agit donc d'un défaut de contrôle d'accès : aucune connexion n'est nécessaire pour déclencher l'action. Le score CVSS de 9.1 reflète cette facilité d'accès combinée à l'impact sur l'administration du site. À la date de l'avis, la faille ne figure pas au catalogue des vulnérabilités exploitées de la CISA : aucune exploitation active n'est documentée par les sources consultées, ce qui ne permet pas pour autant de l'exclure.

Qui est concerné ?

Tous les sites WordPress sur lesquels l'une des deux extensions est installée et active, dans une version allant jusqu'à la 1.7.8.7 incluse. Les sites qui n'utilisent ni MDJM Event Management ni Mobile Events Manager ne sont pas concernés par cette faille : le cœur de WordPress n'est pas en cause.

Les agences et freelances qui maintiennent un parc de sites ont intérêt à inventorier rapidement les installations de ces extensions, y compris sur les environnements de préproduction accessibles depuis internet.

Que faire ?

• Vérifier si l'une des deux extensions est présente sur vos sites, et dans quelle version.
• Mettre à jour vers une version corrigée dès sa publication : l'avis n'en mentionne aucune à ce jour.
• En l'absence de correctif, désactiver puis supprimer l'extension si elle n'est pas indispensable, ou restreindre l'accès au site en attendant une mise à jour.
• Contrôler que les rôles attendus existent toujours, en particulier le rôle administrateur, et que les comptes conservent leurs droits.
• Examiner les journaux du serveur web à la recherche d'activité inhabituelle provenant de visiteurs non connectés.
• En cas de compromission ou de rôles supprimés, restaurer une sauvegarde saine antérieure à l'incident, puis appliquer les mesures ci-dessus avant la remise en ligne.

Sources

• NVD : fiche CVE-2026-88800 (avis de référence)
• WPScan : fiche de la vulnérabilité (recoupement)