Patreon WordPress : faille CSRF jusqu'à la 1.9.17, correctif non précisé

En bref

• Produit : Patreon WordPress (extension WordPress, identifiant patreon-connect)
• Versions affectées : toutes les versions jusqu'à la 1.9.17 incluse
• Version corrigée : non précisé par l'éditeur
• Sévérité : élevée, score CVSS 8.1
• CVE : CVE-2026-108479
• Exploitation active : inconnu
• Date de l'avis : 12 octobre 2026

La fiche CVE-2026-108479, publiée le 12 octobre 2026 dans la base NVD, signale une vulnérabilité de falsification de requête intersite (Cross-Site Request Forgery, abrégée CSRF) dans l'extension Patreon WordPress. D'après la description reprise par la NVD, toutes les versions jusqu'à la 1.9.17 incluse sont touchées. Le score CVSS retenu est de 8.1, soit une sévérité élevée.

Concrètement, une faille CSRF consiste à faire réaliser à un utilisateur déjà connecté une action qu'il n'a pas décidée, en le poussant par exemple à ouvrir une page piégée alors que sa session sur le site est active. Les conséquences dépendent de l'action détournée et du niveau de droits du compte visé. La fiche ne précise ni la fonctionnalité de l'extension en cause ni l'impact exact : ces points sont non précisés par l'éditeur à ce jour.

Les sources consultées ne mentionnent aucune version corrigée. Rien n'indique non plus que la vulnérabilité figure au catalogue de la CISA recensant les failles activement exploitées : l'exploitation active reste donc inconnue.

Qui est concerné ?

Tout site WordPress qui utilise l'extension Patreon WordPress dans une version égale ou antérieure à la 1.9.17 est exposé. Cette extension relie un site à un compte Patreon, par exemple pour réserver des contenus aux membres d'une campagne. Une extension simplement désactivée réduit l'exposition sans la supprimer, puisque ses fichiers restent sur le serveur.

Les sites qui comptent plusieurs administrateurs ou éditeurs, ou dont les comptes restent connectés longtemps, sont les plus exposés : une attaque CSRF repose sur la session ouverte d'un utilisateur légitime.

Que faire ?

• Relever la version de Patreon WordPress installée sur chaque site, depuis la page des extensions du tableau de bord.
• Mettre à jour vers une version corrigée dès que l'éditeur en publie une, après avoir fait une sauvegarde complète.
• En attendant, désactiver puis supprimer l'extension si elle n'est pas indispensable.
• Réduire le nombre de comptes à privilèges élevés et éviter de naviguer sur d'autres sites avec une session d'administration ouverte.
• Vérifier les journaux et la liste des utilisateurs : comptes créés sans raison, réglages de l'extension modifiés, contenus changés.
• En cas de compromission, restaurer une sauvegarde saine antérieure à l'incident puis renouveler les mots de passe des administrateurs.

Cette alerte sera mise à jour dès qu'une version corrigée sera annoncée ou qu'une exploitation active sera signalée.

Sources

• NVD : fiche CVE-2026-108479 (avis de référence)
• Patchstack : faille CSRF dans Patreon WordPress (recoupement)