User Rights Access Manager : faille critique, aucune version corrigée

En bref

• Produit : User Rights Access Manager, extension WordPress.
• Versions affectées : jusqu'à la 1.1.3 incluse.
• Version corrigée : non précisé par l'éditeur.
• Sévérité : critique, score CVSS 9.8.
• CVE : CVE-2026-109145.
• Exploitation active : inconnu.
• Date de l'avis : 15 octobre 2026.

Une vulnérabilité critique a été publiée le 15 octobre 2026 dans la base NVD pour l'extension WordPress User Rights Access Manager. Elle porte l'identifiant CVE-2026-109145 et reçoit un score CVSS de 9.8. Selon l'avis, toutes les versions jusqu'à la 1.1.3 incluse sont concernées, et aucune version corrigée n'est indiquée.

De quoi s'agit-il ?

L'extension sert à gérer les rôles et les droits d'accès des utilisateurs sur un site WordPress. D'après la description publiée par la NVD, l'une de ses fonctions d'inscription de comptes n'applique aucun contrôle d'accès. Les comptes créés par ce biais reçoivent en outre un rôle construit comme une copie du rôle administrateur.

Conséquence : une personne non authentifiée peut créer un compte disposant de droits équivalents à ceux d'un administrateur, puis prendre le contrôle complet du site. Avec ce niveau d'accès, un attaquant peut modifier le contenu, ajouter des extensions, créer d'autres comptes ou consulter les données stockées dans la base.

Aucune exploitation active n'est signalée à ce stade dans le catalogue des vulnérabilités exploitées de la CISA. Cela ne signifie pas que la faille ne sera pas exploitée : l'absence d'authentification requise et l'impact maximal en font une cible probable pour les campagnes automatisées.

Qui est concerné ?

Tous les sites WordPress sur lesquels l'extension User Rights Access Manager est installée en version 1.1.3 ou antérieure. Le risque existe dès que l'extension est active, sans qu'un attaquant ait besoin d'un compte préalable sur le site. Les agences et freelances qui maintiennent un parc de sites ont intérêt à vérifier rapidement la présence de cette extension sur l'ensemble de leurs installations.

Que faire ?

• Recenser les sites qui utilisent User Rights Access Manager et relever la version installée.
• Faute de version corrigée publiée, désactiver puis supprimer l'extension, ou la remplacer par une solution maintenue, en attendant un correctif de l'éditeur.
• Dès qu'une version corrigée est disponible, l'installer sans attendre et vérifier qu'elle est bien mentionnée dans l'avis de l'éditeur ou de WPScan.
• Passer en revue la liste des utilisateurs : supprimer tout compte inconnu ou récent disposant de droits élevés, et vérifier les rôles personnalisés.
• Consulter les journaux d'accès et d'activité à la recherche d'inscriptions inhabituelles.
• En cas de compromission, restaurer une sauvegarde saine antérieure à l'intrusion, puis changer les mots de passe des administrateurs et les clés de sécurité de WordPress.

Sources

• NVD : fiche CVE-2026-109145
• WPScan : avis sur User Rights Access Manager