SimpleForm (WordPress) : élévation de privilèges critique, version corrigée non précisée

En bref

• Produit : SimpleForm – Form Maker to Chat Apps with Quiz, Poll and Multi Lead Notifications, extension WordPress.
• Versions affectées : toutes les versions jusqu'à la 3.10.0 incluse.
• Version corrigée : non précisé par l'éditeur.
• Sévérité : critique, score CVSS 9.8.
• CVE : CVE-2026-104748.
• Exploitation active : inconnu.
• Date de l'avis : 14 octobre 2026.

De quoi s'agit-il ?

La base de vulnérabilités américaine NVD a publié le 14 octobre 2026 l'avis CVE-2026-104748 concernant l'extension WordPress SimpleForm, un constructeur de formulaires qui relie les envois à des messageries et propose quiz, sondages et notifications de prospects.

La faille est une élévation de privilèges. Selon l'avis, la fonction d'inscription d'utilisateurs que l'extension expose aux visiteurs non connectés ne contrôle pas correctement le rôle attribué au compte créé. Un attaquant sans aucun compte sur le site peut ainsi créer un nouvel utilisateur doté du rôle administrateur. L'avis précise que le jeton de sécurité exigé par cette fonction est publié sur toutes les pages publiques du site : il ne constitue donc pas une protection.

Un compte administrateur donne le contrôle complet d'un site WordPress : installation d'extensions, modification du code des thèmes, accès aux contenus, aux comptes et aux données collectées par les formulaires. C'est ce qui explique le score CVSS 9.8, au niveau critique : l'attaque se mène à distance, sans authentification ni interaction d'un utilisateur.

À la date de l'avis, la faille ne figure pas au catalogue des vulnérabilités activement exploitées de la CISA. Aucune exploitation active n'est donc confirmée, mais l'absence d'authentification requise rend ce type de faille attractif pour des campagnes automatisées.

Qui est concerné ?

Tous les sites WordPress sur lesquels l'extension SimpleForm est installée et activée, en version 3.10.0 ou antérieure. Le nombre d'installations actives n'est pas précisé par l'éditeur. Les sites qui n'utilisent pas cette extension ne sont pas concernés par cet avis.

Pour vérifier, ouvrez la page Extensions de l'administration WordPress et repérez SimpleForm ainsi que son numéro de version. Sur un parc de sites clients, faites ce contrôle site par site ou depuis votre outil de gestion centralisée.

Que faire ?

• Mettez à jour SimpleForm dès qu'une version postérieure à la 3.10.0 est disponible ; la version corrigée n'est pas précisée par l'éditeur à ce jour, consultez la fiche de recoupement avant de mettre à jour.
• Tant qu'aucun correctif n'est confirmé, désactivez l'extension si vos formulaires peuvent s'en passer temporairement.
• Contrôlez la liste des utilisateurs : tout compte administrateur que vous ne reconnaissez pas doit être examiné, puis supprimé.
• Vérifiez les journaux du serveur et de WordPress à la recherche de créations de comptes inhabituelles.
• En cas de compromission, restaurez une sauvegarde saine antérieure à l'intrusion, changez tous les mots de passe administrateur et renouvelez les clés de sécurité de WordPress.

Sources

• NVD : CVE-2026-104748 (avis de référence, score CVSS et versions affectées).
• Wordfence Threat Intelligence : SimpleForm (fiche de recoupement).