Étiquette
Veille sécurité
Une vulnérabilité critique (CVE-2026-107594, score CVSS 10) touche l'extension WordPress File Upload to Order avant la version 1.1.4 : un visiteur non authentifié peut supprimer des fichiers arbitraires sur le serveur, ce qui peut aboutir à la compromission complète du site. La version 1.1.4 corrige le problème.
29 octobre 2026 · 3 min
Veille sécurité
Une faille d'élévation de privilèges (CVE-2026-104749, CVSS 7.5) touche l'extension WordPress Bit integrations jusqu'à la 2.10.6 incluse. Sous deux conditions cumulatives, un attaquant non authentifié peut remplacer le mot de passe d'un administrateur. La version corrigée n'est pas précisée par l'éditeur.
29 octobre 2026 · 3 min
Veille sécurité
L'extension WordPress Bit integrations est touchée par une faille XSS stockée (CVE-2026-102007, CVSS 7.2) jusqu'à la version 2.10.6 incluse. Elle ne concerne que les sites ayant configuré un flux reliant le webhook Bit Assist à une notification BuddyBoss. Aucune version corrigée n'est précisée à la date de l'avis.
29 octobre 2026 · 3 min
Veille sécurité
Une faille CSRF de sévérité élevée (CVE-2026-110015, CVSS 8.8) touche l'extension WordPress Salon Booking System avant la 10.31.9. En piégeant un administrateur connecté, un attaquant peut aller jusqu'à créer un compte administrateur. Mettez à jour vers la 10.31.9.
29 octobre 2026 · 3 min
Veille sécurité
Une faille de contournement d'authentification (CVE-2026-96228, CVSS 8.1) touche l'extension WordPress SSL Wireless SMS Notification jusqu'à la 3.8.1 incluse : un attaquant qui connaît le numéro de téléphone d'un utilisateur peut prendre le contrôle de son compte. Aucune version corrigée n'est annoncée.
29 octobre 2026 · 3 min
Veille sécurité
Une faille de type cross-site scripting stockée (CVE-2026-109999, CVSS 7.2) touche l'extension WordPress AI Marketing Expert dans toutes ses versions jusqu'à 1.2.8 incluse. Un visiteur non authentifié peut y enregistrer du script qui s'exécute ensuite dans le tableau de bord d'un administrateur. Aucune version corrigée n'est précisée par les sources à ce stade.
29 octobre 2026 · 3 min
Veille sécurité
Une faille critique (CVE-2026-110956, CVSS 9.8) de l'extension WordPress asVereinbase permet à un attaquant non authentifié de se connecter comme n'importe quel utilisateur, administrateur compris. La version 1.1.8 corrige le problème.
29 octobre 2026 · 3 min
Veille sécurité
L'extension WordPress Datawiza Proxy Auth Plugin, avant la version 1.1.1, permet à un attaquant non authentifié de créer un compte administrateur et de s'y connecter (CVE-2026-115214, CVSS 9.8). Mettez à jour vers la version 1.1.1 et vérifiez vos comptes administrateurs.
29 octobre 2026 · 3 min
Veille sécurité
Une vulnérabilité d'élévation de privilèges (CVE-2026-109447, CVSS 8,1) touche l'extension WordPress User Profile Builder jusqu'à la 4.0.3 incluse. Sous certaines conditions, un attaquant non authentifié peut obtenir un compte administrateur. Voici qui est concerné et que faire.
29 octobre 2026 · 3 min
Veille sécurité
La CVE-2026-109145 (CVSS 9.8) touche l'extension WordPress User Rights Access Manager jusqu'à la version 1.1.3 : un visiteur non authentifié peut créer un compte aux droits d'administrateur et prendre le contrôle du site. Aucune version corrigée n'est indiquée : désactivez l'extension et vérifiez vos comptes utilisateurs.
29 octobre 2026 · 3 min
Veille sécurité
Une vulnérabilité critique (CVE-2026-104748, CVSS 9.8) touche l'extension WordPress SimpleForm jusqu'à la version 3.10.0 incluse : un visiteur non authentifié peut créer un compte administrateur. L'avis ne précise pas de version corrigée. Voici qui est concerné et que faire.
29 octobre 2026 · 3 min