Étiquette
Veille sécurité
L'extension WordPress Essential Addons for Elementor ne restreint pas correctement le rôle attribué aux comptes créés par son formulaire d'inscription (CVE-2026-110808, CVSS 4.2). Correction incomplète de CVE-2026-5193, la faille touche aussi les versions 6.6.0 à 6.8.7. Mettez à jour vers la version 6.8.8.
2 novembre 2026 · 3 min
Veille sécurité
Une faille XSS réfléchie basée sur le DOM (CVE-2026-100151, CVSS 6.1) touche l'extension WordPress Ninja Forms jusqu'à la version 3.15.5 incluse. Un attaquant non authentifié peut faire exécuter du script via un lien piégé. Version corrigée non précisée par l'éditeur : vérifiez vos sites et mettez à jour.
2 novembre 2026 · 3 min
Veille sécurité
Une faille XSS stockée (CVE-2026-102918, CVSS 6.4) touche Redux Framework jusqu'à la version 4.5.15. Un simple abonné peut injecter un script dans son profil, exécuté lorsqu'un administrateur le consulte. Version corrigée non précisée par l'éditeur : mettez à jour vers la dernière version publiée.
2 novembre 2026 · 3 min
Veille sécurité
Une faille de contrôle d'autorisation (CVE-2026-103997, CVSS 6.5) touche l'extension WordPress Redux Framework jusqu'à la version 4.5.15 incluse. Un utilisateur connecté avec un simple rôle d'abonné peut consulter l'ensemble des options enregistrées via Redux, y compris des mots de passe, clés d'API, clés de licence et identifiants SMTP stockés en clair.
2 novembre 2026 · 3 min
Veille sécurité
Le plugin WordPress Ninja Forms, dans ses versions antérieures à 3.15.4, valide de façon incomplète certains champs de formulaire. Un visiteur non authentifié peut y glisser des formules qui s'exécutent quand un administrateur ouvre l'export CSV des soumissions dans un tableur. La faille CVE-2026-67187 (CVSS 7.1) est corrigée en 3.15.4.
2 novembre 2026 · 3 min
Veille sécurité
Une faille XSS stockée (CVE-2026-109997, CVSS 7.2) touche l'extension WordPress Ninja Forms jusqu'à la 3.15.5 incluse. Elle est exploitable par un visiteur non authentifié. La version corrigée n'est pas précisée par l'éditeur à ce jour : vérifiez vos sites et appliquez les mesures de précaution.
2 novembre 2026 · 3 min
Veille sécurité
Une faille d'élévation de privilèges (CVE-2026-118205, CVSS 7.4) touche l'extension WordPress Essential Addons for Elementor jusqu'à la version 6.8.7 incluse. Sous conditions, un visiteur non authentifié peut créer un compte Éditeur. Aucune version corrigée n'est précisée par l'avis.
2 novembre 2026 · 3 min
Veille sécurité
Une faille d'exécution de code à distance (CVE-2026-119977, CVSS 8.1) touche le cœur de WordPress de 4.7 à 7.1.3. Elle est exploitable sans authentification pendant une mise à jour complète du cœur. WordPress 7.1.4 est la version de correction référencée par l'avis.
2 novembre 2026 · 3 min
Veille sécurité
Une faille de sévérité moyenne (CVSS 6.5) dans l'extension WordPress Kirki permet à un attaquant non authentifié d'envoyer des formulaires sans valider le reCAPTCHA : spam, notifications et webhooks déclenchés en masse. Le correctif est disponible dans la version 6.2.5.
30 octobre 2026 · 3 min
Veille sécurité
Une faille de contrôle d'accès dans l'extension WordPress Kirki permet à un compte disposant de l'accès Kirki, accordé par défaut au rôle Éditeur, de modifier le titre, le slug et le statut de publication de contenus qui ne lui appartiennent pas. Mettez à jour vers la version 6.4.1.
30 octobre 2026 · 3 min
Veille sécurité
Dans Royal Addons for Elementor avant la version 1.7.1070, un utilisateur ayant au moins le rôle Auteur peut écraser la configuration d'un formulaire de contact et en recevoir les messages. Sévérité faible (CVSS 3.8), aucune exploitation active connue. Mise à jour recommandée.
30 octobre 2026 · 3 min
Veille sécurité
Une vulnérabilité de type Cross-Site Scripting stocké (CVE-2026-109216, score CVSS 4.9) touche le plugin WordPress Meta Box dans toutes ses versions jusqu'à la 5.15.2 incluse. Son exploitation suppose un compte authentifié et un thème ou une extension bâti sur Meta Box qui expose le champ « background » à des rôles peu privilégiés. Voici qui est concerné et les mesures à prendre.
30 octobre 2026 · 3 min
Veille sécurité
Une vulnérabilité de l'extension WordPress Essential Addons for Elementor (CVE-2026-110509, CVSS 5.3) permet à un visiteur anonyme de lire des contenus non publics et des champs personnalisés privés. La version 6.8.7 corrige le problème.
30 octobre 2026 · 3 min
Veille sécurité
Avant la version 6.8.7, l'extension Essential Addons for Elementor n'applique pas l'approbation par un administrateur aux comptes créés par code à usage unique envoyé par e-mail. Un visiteur peut alors s'inscrire et se connecter sans validation. Sévérité moyenne (CVSS 5.3). Mettez à jour vers la 6.8.7.
30 octobre 2026 · 3 min
Veille sécurité
Une faille (CVE-2026-107100, CVSS 5.3) dans l'extension WordPress Royal Addons for Elementor permet à un visiteur non authentifié de lire le contenu de types de publication non publics, comme des soumissions de formulaires de contact. Elle est corrigée en version 1.7.1070.
30 octobre 2026 · 3 min
Veille sécurité
L'extension WordPress Royal Addons for Elementor, dans ses versions antérieures à 1.7.1070, n'effectue aucun contrôle d'autorisation avant d'utiliser la connexion Mailchimp enregistrée par le propriétaire du site. Un visiteur non authentifié peut ainsi ajouter des adresses et des coordonnées arbitraires dans une audience Mailchimp, comme abonnés confirmés. Sévérité moyenne (CVSS 5.3). Correctif : version 1.7.1070.
30 octobre 2026 · 3 min
Veille sécurité
Avant la version 1.7.1070, l'extension WordPress Royal Elementor Addons permet à un attaquant non authentifié de remplacer les destinataires des e-mails de notification de ses formulaires et de relayer des messages depuis le domaine du site (CVE-2026-106648, CVSS 5.3). Mettez à jour.
30 octobre 2026 · 3 min
Veille sécurité
Une faille XSS stockée (CVE-2026-111318, score CVSS 5.4) touche l'extension WordPress HT Mega Addons for Elementor jusqu'à la 3.2.7 incluse. Son exploitation suppose plusieurs conditions cumulatives. Voici qui est concerné et les mesures à prendre.
30 octobre 2026 · 3 min
Veille sécurité
Une vulnérabilité de type Cross-Site Scripting stockée (CVE-2026-109215, score CVSS 6.4) affecte l'extension WordPress LiteSpeed Cache dans toutes ses versions jusqu'à la 7.9.1 incluse. Elle exige un compte abonné et une configuration particulière de l'option Viewport Images. Voici qui est concerné et les actions à mener.
30 octobre 2026 · 3 min
Veille sécurité
Une faille XSS stockée (CVE-2026-107098, CVSS 6,8) touche l'extension WordPress Royal Addons for Elementor avant la version 1.7.1070. Un contributeur peut injecter du JavaScript exécuté par les visiteurs, y compris un administrateur qui relit un contenu en attente. Mettez à jour vers la 1.7.1070.
30 octobre 2026 · 3 min
Veille sécurité
La NVD a publié le 29 octobre 2026 la CVE-2026-118085 : une faille XSS exploitable sans authentification dans l'extension GlobalPayments WooCommerce, notée 7,1. Aucune version corrigée n'est encore précisée. Voici qui est concerné et quoi faire.
30 octobre 2026 · 3 min
Veille sécurité
Une injection d'objet PHP exploitable sans authentification, notée 9,8 sur 10, affecte l'extension WordPress GEO my WordPress. Aucune exploitation active n'est signalée à ce stade. Vérifiez vos sites et appliquez la mise à jour de l'extension dès qu'elle est disponible.
30 octobre 2026 · 3 min
Veille sécurité
Une faille de traversée de répertoire dans le thème WordPress Javo Spot permet à un visiteur non authentifié de lire des fichiers du serveur, dont la configuration de WordPress. Elle est corrigée en version 3.0.0.
29 octobre 2026 · 3 min
Veille sécurité
La CVE-2026-11905 touche l'extension Elementor pour WordPress dans toutes ses versions jusqu'à la 4.2.3 incluse. Un utilisateur connecté disposant au moins du rôle contributeur peut lire le contenu complet d'articles privés, de brouillons, d'articles en attente ou programmés, ainsi que leur mot de passe de protection en clair. Sévérité moyenne (CVSS 4,3), aucune exploitation active signalée à ce jour.
29 octobre 2026 · 3 min
Veille sécurité
Une vulnérabilité critique (CVE-2026-107594, score CVSS 10) touche l'extension WordPress File Upload to Order avant la version 1.1.4 : un visiteur non authentifié peut supprimer des fichiers arbitraires sur le serveur, ce qui peut aboutir à la compromission complète du site. La version 1.1.4 corrige le problème.
29 octobre 2026 · 3 min
Veille sécurité
Une faille d'élévation de privilèges (CVE-2026-104749, CVSS 7.5) touche l'extension WordPress Bit integrations jusqu'à la 2.10.6 incluse. Sous deux conditions cumulatives, un attaquant non authentifié peut remplacer le mot de passe d'un administrateur. La version corrigée n'est pas précisée par l'éditeur.
29 octobre 2026 · 3 min
Veille sécurité
L'extension WordPress Bit integrations est touchée par une faille XSS stockée (CVE-2026-102007, CVSS 7.2) jusqu'à la version 2.10.6 incluse. Elle ne concerne que les sites ayant configuré un flux reliant le webhook Bit Assist à une notification BuddyBoss. Aucune version corrigée n'est précisée à la date de l'avis.
29 octobre 2026 · 3 min
Veille sécurité
La fiche CVE-2026-108479 signale une faille CSRF dans l'extension Patreon WordPress, jusqu'à la version 1.9.17 incluse, avec un score CVSS de 8.1. Aucune version corrigée n'est précisée par l'éditeur : voici les sites concernés et les mesures à appliquer.
29 octobre 2026 · 3 min
Veille sécurité
Une vulnérabilité de sévérité élevée (CVE-2026-115251) touche l'extension WordPress Duplicator avant la version 5.0.0 : sa routine de mise à niveau n'est pas correctement restreinte et permet, sur un réseau multisite, à un administrateur de sous-site d'installer et d'exécuter du code PHP. La version 5.0.0 corrige le problème.
29 octobre 2026 · 3 min
Veille sécurité
Une faille CSRF de sévérité élevée (CVE-2026-110015, CVSS 8.8) touche l'extension WordPress Salon Booking System avant la 10.31.9. En piégeant un administrateur connecté, un attaquant peut aller jusqu'à créer un compte administrateur. Mettez à jour vers la 10.31.9.
29 octobre 2026 · 3 min
Veille sécurité
Une faille XSS réfléchie (CVE-2026-108483, score CVSS 7.1) touche l'extension WordPress Hippoo Mobile App for WooCommerce jusqu'à la version 1.12.0. Aucune version corrigée n'est précisée par les sources : vérifiez vos sites et désactivez l'extension si elle n'est pas indispensable.
29 octobre 2026 · 3 min
Veille sécurité
Une vulnérabilité critique (CVSS 9,8) touche l'extension WooCommerce Printcart Store (PCDesigner / NB Designer) jusqu'à la version 2.9.1 incluse : un visiteur non authentifié peut envoyer un fichier arbitraire sur le serveur et y exécuter du code. Voici qui est concerné et comment réagir.
29 octobre 2026 · 3 min
Veille sécurité
Une faille de contournement d'authentification (CVE-2026-96228, CVSS 8.1) touche l'extension WordPress SSL Wireless SMS Notification jusqu'à la 3.8.1 incluse : un attaquant qui connaît le numéro de téléphone d'un utilisateur peut prendre le contrôle de son compte. Aucune version corrigée n'est annoncée.
29 octobre 2026 · 3 min
Veille sécurité
Une faille XSS stockée exploitable sans authentification touche l'extension WordPress Prime Slider dans toutes ses versions jusqu'à la 4.7.2 incluse (CVE-2026-111111, CVSS 7,2). Aucune version corrigée n'est précisée par les sources à ce jour : voici qui est concerné et comment réagir.
29 octobre 2026 · 3 min
Veille sécurité
Une faille de type cross-site scripting stockée (CVE-2026-109999, CVSS 7.2) touche l'extension WordPress AI Marketing Expert dans toutes ses versions jusqu'à 1.2.8 incluse. Un visiteur non authentifié peut y enregistrer du script qui s'exécute ensuite dans le tableau de bord d'un administrateur. Aucune version corrigée n'est précisée par les sources à ce stade.
29 octobre 2026 · 3 min
Veille sécurité
Une faille d'élévation de privilèges touche l'extension WordPress aBlocks jusqu'à la version 2.17.0 incluse : un contributeur connecté peut obtenir le rôle d'éditeur. Score CVSS 8.8, version corrigée non précisée par l'éditeur. Qui est concerné et que faire.
29 octobre 2026 · 3 min
Veille sécurité
Une faille critique (CVE-2026-110956, CVSS 9.8) de l'extension WordPress asVereinbase permet à un attaquant non authentifié de se connecter comme n'importe quel utilisateur, administrateur compris. La version 1.1.8 corrige le problème.
29 octobre 2026 · 3 min
Veille sécurité
L'extension WordPress Datawiza Proxy Auth Plugin, avant la version 1.1.1, permet à un attaquant non authentifié de créer un compte administrateur et de s'y connecter (CVE-2026-115214, CVSS 9.8). Mettez à jour vers la version 1.1.1 et vérifiez vos comptes administrateurs.
29 octobre 2026 · 3 min
Veille sécurité
Une faille d'écriture de fichier arbitraire (CVE-2026-104068, CVSS 7.2) touche l'extension WordPress JetBackup avant la version 3.1.24.10. Elle passe par l'import et la restauration de sauvegardes et requiert un compte administrateur. Mettez à jour vers la version corrigée.
29 octobre 2026 · 3 min
Veille sécurité
La CVE-2026-94267 touche Advanced Custom Fields: Extended et sa version PRO avant 0.9.2.8 : faute de contrôle des droits sur certains formulaires front-end, un visiteur non authentifié peut écraser des contenus et obtenir l'exécution de code sur le serveur. Mettez à jour vers la version 0.9.2.8.
29 octobre 2026 · 3 min
Veille sécurité
Une injection SQL exploitable sans authentification touche l'extension WordPress NotificationX, de la version 2.0.0 jusqu'à la 2.3.12 exclue. Score CVSS : 8.2. La version 2.3.12 corrige la faille : vérifiez la version installée sur vos sites et mettez à jour.
29 octobre 2026 · 3 min
Veille sécurité
Une partie des paquets Rank Math SEO PRO 3.0.123 distribués pendant une fenêtre de quelques heures contenait un logiciel malveillant (CVE-2026-111862, CVSS 9.8). L'éditeur a publié la version 3.0.124 et demande aux sites ayant activé un paquet affecté de se considérer comme compromis.
29 octobre 2026 · 3 min
Veille sécurité
Une vulnérabilité d'élévation de privilèges (CVE-2026-109447, CVSS 8,1) touche l'extension WordPress User Profile Builder jusqu'à la 4.0.3 incluse. Sous certaines conditions, un attaquant non authentifié peut obtenir un compte administrateur. Voici qui est concerné et que faire.
29 octobre 2026 · 3 min
Veille sécurité
Une vulnérabilité d'envoi de fichiers arbitraires (CVE-2026-111311, CVSS 8.8) touche l'extension WordPress DoubleScale jusqu'à la version 1.5.1 incluse, lorsque le module Helpdesk est activé. Un simple compte abonné peut déposer des fichiers potentiellement exécutables. Aucune version corrigée n'est précisée à ce jour : désactivez le module Helpdesk en attendant.
29 octobre 2026 · 3 min
Veille sécurité
L'extension WordPress MailOptin, dans toutes ses versions jusqu'à 1.2.78.6 incluse, présente une élévation de privilèges notée 9,8 sur 10 (CVE-2026-109515). Un attaquant non authentifié peut prendre le contrôle de n'importe quel compte, administrateurs compris, dès qu'un formulaire d'inscription utilisateur MailOptin est publié sur le site. Aucune version corrigée n'est précisée par l'éditeur à ce stade.
29 octobre 2026 · 3 min
Veille sécurité
La CVE-2026-109145 (CVSS 9.8) touche l'extension WordPress User Rights Access Manager jusqu'à la version 1.1.3 : un visiteur non authentifié peut créer un compte aux droits d'administrateur et prendre le contrôle du site. Aucune version corrigée n'est indiquée : désactivez l'extension et vérifiez vos comptes utilisateurs.
29 octobre 2026 · 3 min
Veille sécurité
Une vulnérabilité critique (CVE-2026-104748, CVSS 9.8) touche l'extension WordPress SimpleForm jusqu'à la version 3.10.0 incluse : un visiteur non authentifié peut créer un compte administrateur. L'avis ne précise pas de version corrigée. Voici qui est concerné et que faire.
29 octobre 2026 · 3 min
Veille sécurité
La fiche CVE-2026-108481 décrit une faille CSRF dans l'extension Patreon WordPress, jusqu'à la version 1.10.0 incluse, avec un score CVSS de 7.4. Aucune version corrigée n'est précisée par l'éditeur à ce stade : voici qui est concerné et les mesures à prendre.
29 octobre 2026 · 3 min
Veille sécurité
Une faille critique (CVE-2026-103688, CVSS 9.8) touche l'extension WordPress Checkout Files Upload for WooCommerce avant la version 2.4.0 : un visiteur non authentifié peut déposer des fichiers arbitraires, y compris PHP, lorsque tous les types de fichiers sont acceptés. Mettez à jour vers la 2.4.0.
29 octobre 2026 · 3 min
Terrain
Inventaire des plugins, snapshot immédiat, staging, WP-CLI, rollback automatique : le process complet pour mettre à jour un parc WordPress sans exposer un site client à une indisponibilité.
13 octobre 2026 · 8 min
Terrain
Monitoring multi-sites pour agences : de la sonde HTTP à la clause SLA contractuelle, un guide opérationnel pour ne plus subir les pannes de vos clients.
13 octobre 2026 · 11 min
Terrain
La tierce maintenance applicative web formalise ce qu'une agence s'engage à maintenir, surveiller et corriger sur les sites de ses clients — avec des délais contractuels et des clauses qui protègent les deux parties.
13 octobre 2026 · 11 min
Terrain
46 % des failles WordPress publiées en 2025 n'avaient pas de correctif au moment de leur divulgation — la mise à jour seule ne suffit pas. Ce guide donne la checklist d'audit en 20 points et la configuration Nginx qui bloque les vecteurs sans toucher à PHP.
13 octobre 2026 · 9 min
Terrain
La plupart des failles WordPress viennent des plugins, pas du cœur du CMS. Ce guide couvre la détection, le triage par score CVSS et l'automatisation de la veille CVE.
13 octobre 2026 · 8 min
Terrain
Les failles serveur — xmlrpc.php accessible, PHP dans les uploads, version exposée dans les en-têtes — ne se corrigent pas depuis l'admin WordPress. Voici les directives Nginx, Apache et wp-config.php à appliquer, avec un template Nginx commenté directive par directive.
13 octobre 2026 · 5 min
Terrain
Gérer un parc de sites sans politique de mises à jour, c'est garantir des incidents au pire moment. Ce guide pose les 5 décisions structurantes, le workflow adapté à 50 sites, et 4 KPIs pour piloter ce process.
13 octobre 2026 · 13 min
Multi-stack
WordPress est ciblé parce qu'il est partout. Voici pourquoi une maintenance régulière coûte bien moins cher qu'une panne, et ce qu'elle doit vraiment couvrir.
10 mai 2026 · 6 min