Post Duplicator : élévation de privilèges corrigée en 3.0.18

En bref

• Produit : Post Duplicator, extension WordPress.
• Versions affectées : toutes les versions antérieures à 3.0.18.
• Version corrigée : 3.0.18.
• Sévérité : élevée, score CVSS 7.2.
• CVE : CVE-2026-121874.
• Exploitation active : inconnu.
• Date de l'avis : 9 novembre 2026.

Une vulnérabilité d'élévation de privilèges a été publiée dans l'extension WordPress Post Duplicator, qui sert à dupliquer des articles, des pages et des contenus personnalisés. Elle est corrigée en version 3.0.18. La fiche NVD lui attribue un score CVSS de 7.2, soit une sévérité élevée. À la date de publication de cet article, la vulnérabilité ne figure pas dans le catalogue des failles exploitées de la CISA.

De quoi s'agit-il ?

Selon la description publiée par le NVD, l'extension ne limite pas l'enregistrement de ses réglages à ses propres options. Sur un réseau WordPress multisite, un administrateur de site qui n'est pas Super Admin peut ainsi modifier des options arbitraires de son site, y compris la définition des rôles, et s'attribuer des capacités de gestion du réseau.

Concrètement, la faille fait tomber la séparation entre l'administrateur d'un site du réseau et le Super Admin, qui a seul la main sur l'ensemble des sites, des extensions et des utilisateurs. Un compte compromis ou malveillant disposant du rôle d'administrateur sur un seul site pourrait donc étendre ses droits à tout le réseau.

Qui est concerné ?

Sont concernés les sites qui utilisent Post Duplicator dans une version antérieure à 3.0.18. Le risque décrit vise en priorité les installations WordPress multisite où des administrateurs de site distincts du Super Admin ont accès au back-office : réseaux d'agence, plateformes de sites clients, intranets ou réseaux d'établissements.

Sur une installation WordPress classique, à site unique, l'administrateur dispose déjà de tous les droits ; l'avis ne décrit pas d'autre scénario d'exploitation. Le nombre de sites réellement exposés n'est pas précisé par l'éditeur, mais la page de l'extension sur WordPress.org indique une large base d'installations actives, ce qui justifie une mise à jour rapide.

Que faire ?

• Mettre à jour Post Duplicator vers la version 3.0.18 ou une version ultérieure, sur chaque site ou depuis l'administration du réseau.
• Si la mise à jour ne peut pas être faite tout de suite, désactiver l'extension en attendant.
• Passer en revue les comptes administrateurs de chaque site du réseau et retirer les accès qui ne sont plus nécessaires.
• Vérifier les journaux et la liste des rôles : création de compte inattendue, rôle modifié, nouvelle capacité attribuée à un administrateur de site, réglages du réseau changés.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'incident, puis changer les mots de passe et les clés de sécurité.

Les contrôles de sécurité de Sentinelo croisent les vulnérabilités WordPress avec la base WPScan.

Sources

• NVD : fiche CVE-2026-121874 (avis de référence, score CVSS et versions)
• WPScan : vulnérabilité de Post Duplicator (recoupement)
• WordPress.org : page de l'extension Post Duplicator