Post Duplicator : fuite des titres de brouillons corrigée en 3.0.17

En bref

• Produit : Post Duplicator, extension WordPress
• Versions affectées : toutes les versions antérieures à 3.0.17
• Version corrigée : 3.0.17
• Sévérité : non précisé par l'éditeur (aucun score CVSS publié à ce jour)
• CVE : CVE-2026-111740
• Exploitation active : inconnu
• Date de l'avis : 4 novembre 2026

Une vulnérabilité de contrôle d'accès a été publiée pour l'extension WordPress Post Duplicator, utilisée pour dupliquer des articles, des pages et d'autres types de contenus. Selon la fiche du NVD, l'extension ne vérifie pas, avant de renvoyer la liste des contenus d'un type donné, que l'utilisateur à l'origine de la demande a bien le droit de consulter chacun d'eux. La version 3.0.17 corrige ce défaut.

Qui est concerné ?

Sont concernés tous les sites WordPress sur lesquels Post Duplicator est installé dans une version antérieure à 3.0.17. L'extension est très répandue, comme en témoigne le nombre d'installations actives affiché sur sa page WordPress.org.

La faille n'est pas exploitable par un visiteur anonyme : elle nécessite un compte connecté disposant au minimum du rôle Contributeur. Un tel utilisateur peut alors lire les titres et la hiérarchie des brouillons et des contenus privés rédigés par d'autres utilisateurs. L'avis ne mentionne que ces deux informations : il ne fait état ni d'une modification des contenus, ni d'une prise de contrôle du site.

Le risque concerne donc surtout les sites multi-auteurs : rédactions, blogs collaboratifs, sites d'agences qui ouvrent des comptes à des rédacteurs externes, ou sites où des comptes Contributeur sont créés pour des prestataires. Les titres de brouillons peuvent pourtant révéler des informations sensibles : annonce non publiée, lancement de produit, page confidentielle ou réorganisation à venir. Sur un site où seul l'administrateur dispose d'un compte, l'exposition est très limitée.

À la date de l'avis, aucune exploitation active n'est signalée et la vulnérabilité ne figure pas au catalogue KEV de la CISA. Aucun score CVSS n'a encore été attribué par le NVD, la sévérité reste donc non précisée.

Que faire ?

• Mettre à jour Post Duplicator vers la version 3.0.17 ou une version ultérieure, depuis le tableau de bord WordPress ou votre outil de gestion de parc.
• Faire l'inventaire des comptes disposant du rôle Contributeur ou supérieur, et supprimer ceux qui ne sont plus utilisés.
• Si l'extension n'est plus nécessaire, la désactiver puis la supprimer plutôt que de la laisser installée.
• Vérifier les journaux d'activité et d'accès pour repérer des connexions inhabituelles de comptes à faibles privilèges.
• En cas de compromission avérée du site, restaurer une sauvegarde saine antérieure à l'incident, puis appliquer la mise à jour avant la remise en ligne.

Cette faille relève de la divulgation d'informations et non de l'exécution de code : la mise à jour reste néanmoins recommandée sans attendre, en particulier sur les sites qui accueillent plusieurs auteurs.

Sources

• NVD : CVE-2026-111740 (avis de référence)
• WPScan : fiche de la vulnérabilité Post Duplicator (recoupement)
• WordPress.org : page de l'extension Post Duplicator