User Profile Builder : faille d'élévation de privilèges jusqu'à 4.0.3

En bref

• Produit : User Profile Builder, extension WordPress de formulaires d'inscription, de profils utilisateurs et de gestion des rôles.
• Versions affectées : toutes les versions jusqu'à la 4.0.3 incluse.
• Version corrigée : non précisé par l'éditeur.
• Sévérité : élevée, score CVSS 8,1.
• CVE : CVE-2026-109447.
• Exploitation active : inconnu.
• Date de l'avis : 16 octobre 2026.

Une vulnérabilité d'élévation de privilèges a été publiée le 16 octobre 2026 dans la base NVD pour l'extension WordPress User Profile Builder. Référencée CVE-2026-109447 et notée 8,1 sur l'échelle CVSS, elle permet à un attaquant non authentifié d'obtenir un compte administrateur pleinement activé sur un site vulnérable, sous certaines conditions de configuration. Un compte administrateur donne le contrôle complet du site : contenus, extensions, utilisateurs et réglages.

Selon l'avis, le traitement de l'activation des comptes ne vérifie pas le rôle attribué au nouvel utilisateur au regard d'une liste de rôles autorisés. Le contrôle ajouté dans la 4.0.3 ne couvre pas les champs de formulaire créés avant cette mise à jour, ce qui laisse la faille exploitable sur les sites qui en ont conservé.

Qui est concerné ?

Sont concernés les sites WordPress qui utilisent User Profile Builder dans une version jusqu'à la 4.0.3 incluse. D'après la description publiée, l'exploitation suppose que trois conditions soient réunies en même temps :

• un formulaire d'inscription contenant un champ hérité lié au rôle de l'utilisateur, conservé depuis une version antérieure à la 4.0.3 ;
• la confirmation de l'inscription par e-mail activée ;
• l'inscription des utilisateurs ouverte au public.

L'avis souligne que ces conditions, une fois en place, restent stables dans le temps : un site qui les remplit reste exposé tant que l'extension n'est pas corrigée. Les sites dont l'inscription publique est fermée ou qui n'utilisent pas la confirmation par e-mail ne remplissent pas les conditions décrites, mais la mise à jour reste recommandée.

La version qui corrige la faille n'est pas précisée par l'éditeur dans les sources consultées. Une modification du code de l'extension est toutefois visible dans le dépôt WordPress.org.

Que faire ?

• Mettre à jour User Profile Builder vers la dernière version publiée sur WordPress.org, puis vérifier dans le journal des modifications de l'extension qu'elle mentionne la correction de cette faille.
• En attendant la mise à jour, fermer temporairement l'inscription publique ou retirer le formulaire d'inscription des pages du site.
• Passer en revue les formulaires d'inscription et supprimer tout champ hérité lié au rôle de l'utilisateur.
• Contrôler la liste des comptes administrateurs et supprimer tout compte inconnu ou créé récemment sans raison.
• Vérifier les journaux du serveur et de WordPress à la recherche d'inscriptions et d'activations de comptes inhabituelles.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'intrusion, puis changer les mots de passe et les clés de sécurité du site.

Sources

• NVD : CVE-2026-109447 (avis de référence, publié le 16 octobre 2026).
• Wordfence Intelligence : fiche de la vulnérabilité (recoupement).
• WordPress.org Trac : modification du code de l'extension (recoupement).