Veille CVE web : 11 octobre 2026
- #1WordPress — PluginsCritique9.8
The Freeton WP WordPress plugin through 1.0.0 permet l’authentification non authentifiée via l’adresse email connue
Le plugin Freeton WP WordPress jusqu’à la version 1.0.0 ne valide pas correctement le code d’activation lors de l’authentification d’un utilisateur, permettant à des attaquants non authentifiés de se connecter en tant qu’un utilisateur dont l’adresse email est connue (y compris les administrateurs).
CVE-2026-84737 · 9.8ActionMettre à jour les plugins WordPress vers des versions sûres dès que disponibles et retirer les comptes non nécessaires.Correctifs non fournis dans l’entrée? Voir l’avis éditeurFiche complète → - #2WordPress — PluginsCritique9.8
The AI Content Generator Marketing WordPress plugin through 1.0.0 ne vérifie pas les nonce ou capacités sur certaines actions AJAX
Le plugin AI Content Generator Marketing WordPress jusqu’à la version 1.0.0 n’impose pas de nonce ou de vérification de capacité sur certaines actions AJAX, permettant à des utilisateurs non authentifiés de mettre à jour et supprimer des options WordPress arbitraires et potentiellement obtenir un accès administrateur.
CVE-2026-85118 · 9.8ActionÉliminer les actions AJAX non sécurisées et déployer un correctif officiel dès que disponible.Correctifs non fournis dans l’entrée? Voir l’avis éditeurFiche complète → - #3WordPress — PluginsCritique9.8
The Mindstien Quick Login WordPress plugin through 1.0 ne valide pas correctement une valeur de la requête contre la session lors de l’authentification
Le plugin Mindstien Quick Login WordPress jusqu’à la version 1.0 ne valide pas correctement une valeur fournie dans la requête par rapport à la session de l’utilisateur, permettant à des attaquants non authentifiés d’obtenir une session en tant que compte administrateur.
CVE-2026-84734 · 9.8ActionMettre à jour le plugin vers une version sécurisée et revoir la logique d’authentification.Correctifs non fournis dans l’entrée? Voir l’avis éditeurFiche complète → - #4WordPress — PluginsCritique9.8
The click5 CRM add-on to Contact Form 7 WordPress plugin through 1.0.4 n’a pas vérifié l’autorisation et ne vérifie pas les CSRF lors de la mise à jour des options via un endpoint REST
Le plugin Click5 CRM pour Contact Form 7 WordPress jusqu’à la v1.0.4 ne vérifie pas l’appartenance des options mises à jour et n’effectue pas de contrôles CSRF, permettant à des attaquants non authentifiés de changer des options du blog et potentiellement créer un compte administrateur.
CVE-2026-84254 · 9.8ActionÉvaluer et appliquer les correctifs du plugin; limiter les méthodes REST exposées.Correctifs non fournis dans l’entrée? Voir l’avis éditeurFiche complète →
À surveiller
Surveiller les nouveaux avis GHSA relatifs à WordPress et appliquer les correctifs rapidement. Priorité haute sur les plugins d’authentification et d’options REST.