Post Duplicator : élévation de privilèges corrigée en 3.0.18

Une vulnérabilité d'élévation de privilèges, référencée CVE-2026-121875, touche l'extension WordPress Post Duplicator dans ses versions antérieures à 3.0.18. Elle concerne les installations WordPress en réseau multisite. La version 3.0.18 corrige le problème : la mise à jour est recommandée sans attendre.

En bref

• Produit : Post Duplicator (extension WordPress)
• Versions affectées : toutes les versions antérieures à 3.0.18
• Version corrigée : 3.0.18
• Sévérité : élevée, score CVSS 7.2
• CVE : CVE-2026-121875
• Exploitation active : inconnu
• Date de l'avis : 9 novembre 2026

De quoi s'agit-il ?

Post Duplicator est une extension qui permet de dupliquer des articles, des pages et des contenus personnalisés. Elle dispose de réglages de permissions qui définissent quels rôles peuvent utiliser la fonction de duplication.

Selon la fiche publiée par la NVD, l'extension ne vérifie pas les capacités attribuées aux rôles via ces réglages de permissions. Sur un réseau multisite, un administrateur de site qui n'est pas Super Admin peut ainsi accorder à n'importe quel rôle des capacités arbitraires, y compris les capacités de gestion du réseau normalement réservées au Super Admin.

En pratique, la frontière entre l'administrateur d'un site du réseau et le Super Admin, qui contrôle l'ensemble des sites, les extensions et les utilisateurs du réseau, n'est plus garantie. Un compte administrateur de site compromis ou malveillant pourrait obtenir un contrôle bien plus large que prévu.

L'exploitation suppose de disposer déjà d'un compte administrateur sur l'un des sites du réseau, ce qui explique une sévérité élevée plutôt que critique. Aucune exploitation active n'est signalée à ce jour : la vulnérabilité ne figure pas dans le catalogue KEV de la CISA.

Qui est concerné ?

Sont concernés les sites qui utilisent Post Duplicator dans une version antérieure à 3.0.18 et qui fonctionnent en mode multisite. L'extension compte environ 200 000 installations actives selon WordPress.org, mais seule une partie d'entre elles tourne en multisite.

Le risque est le plus élevé pour les réseaux où plusieurs personnes ou organisations distinctes disposent du rôle d'administrateur de site : réseaux d'agences, intranets, plateformes qui hébergent des sites pour différents clients ou services. Une installation WordPress classique, sans multisite, n'est pas visée par le scénario décrit dans l'avis.

Que faire ?

• Mettre à jour Post Duplicator vers la version 3.0.18 ou ultérieure sur tous les réseaux multisites, et par précaution sur les autres installations.
• Contrôler les rôles et les capacités du réseau : repérer tout rôle qui aurait reçu des capacités inhabituelles, en particulier des droits de gestion du réseau.
• Vérifier la liste des Super Admins et des comptes administrateurs, et supprimer tout compte inconnu.
• Examiner les journaux d'activité et d'accès à l'administration à la recherche de modifications de permissions inattendues.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'incident, puis renouveler les mots de passe des comptes à privilèges.
• Si la mise à jour ne peut pas être appliquée immédiatement, limiter les administrateurs de site à des personnes de confiance ou désactiver temporairement l'extension.

Sources

• NVD : fiche CVE-2026-121875
• WPScan : avis sur Post Duplicator
• WordPress.org : page de l'extension Post Duplicator