WP STAGING : faille de suppression de dossiers jusqu'en 4.19.0, correctif non précisé

En bref

• Produit : WP STAGING (extension WordPress de sauvegarde, migration et clonage)
• Versions affectées : toutes les versions jusqu'à 4.19.0 incluse
• Version corrigée : non précisé par l'éditeur
• Sévérité : faible, score CVSS 2.7
• CVE : CVE-2026-115871
• Exploitation active : inconnu
• Date de l'avis : 13 novembre 2026

Le NVD a publié le 13 novembre 2026 un avis concernant WP STAGING, une extension WordPress utilisée pour créer des copies de préproduction, sauvegarder et migrer des sites. La faille, référencée CVE-2026-115871, permet de supprimer des dossiers arbitraires sur le serveur. Elle provient d'une validation insuffisante des chemins lors du nettoyage d'un environnement de préproduction : le chemin du dossier à effacer n'est pas correctement contenu dans le répertoire prévu à cet effet.

Selon l'avis, un attaquant authentifié pourrait ainsi effacer de manière récursive des répertoires essentiels du site, voire des dossiers situés en dehors de l'installation WordPress sur un hébergement mutualisé. Les conséquences décrites sont une indisponibilité du site ou une perte définitive de données.

Qui est concerné ?

Tous les sites WordPress qui utilisent WP STAGING dans une version jusqu'à 4.19.0 incluse. L'exploitation exige un compte disposant au minimum du rôle administrateur, ce qui explique le score CVSS de 2.7 attribué par le NVD. Le risque reste concret dans plusieurs situations : compte administrateur compromis (mot de passe réutilisé ou volé), sites où de nombreux intervenants partagent des droits d'administration, ou hébergement mutualisé où plusieurs sites cohabitent sur le même espace disque.

Aucune exploitation active n'est signalée à ce jour : la vulnérabilité ne figure pas au catalogue des failles exploitées de la CISA. Les sources disponibles ne précisent pas encore de version corrigée.

Que faire ?

• Vérifier la version de WP STAGING installée sur chaque site, puis surveiller la page officielle de l'extension et appliquer la mise à jour corrective dès qu'elle est publiée.
• En attendant, si l'extension n'est pas utilisée au quotidien, la désactiver, voire la supprimer, et la réinstaller seulement au moment d'un clonage ou d'une migration.
• Réduire le nombre de comptes administrateurs, supprimer les comptes inutiles et imposer des mots de passe uniques avec une double authentification.
• Vérifier les journaux d'activité et du serveur à la recherche d'opérations de clonage ou d'annulation inhabituelles, et contrôler l'intégrité des répertoires du site.
• Disposer d'une sauvegarde récente stockée hors du serveur ; en cas de compromission ou de dossiers supprimés, restaurer une sauvegarde saine antérieure à l'incident, puis changer tous les mots de passe administrateurs.

Comme toute extension de sauvegarde ou de clonage manipule l'ensemble des fichiers du site, il est prudent de ne pas compter sur elle comme unique copie de secours : une sauvegarde externe reste indispensable pour se remettre d'une suppression de fichiers.

Sources

• NVD : fiche CVE-2026-115871 (avis de référence)
• Wordfence Threat Intelligence : fiche de la vulnérabilité
• WordPress.org : page officielle de l'extension WP STAGING