# Bulletin de veille CVE web : 11 octobre 2026

- Page canonique : https://kreomnisvigie.com/bulletins/2026-10-12
- Établi le 12 octobre 2026 · fenêtre du 11 octobre 2026 au 11 octobre 2026
- 4 advisory, 4 CVE, 0 au CISA KEV, 0 exploitée(s)

## 1. WordPress — Plugins : The Freeton WP WordPress plugin through 1.0.0 permet l’authentification non authentifiée via l’adresse email connue

Le plugin Freeton WP WordPress jusqu’à la version 1.0.0 ne valide pas correctement le code d’activation lors de l’authentification d’un utilisateur, permettant à des attaquants non authentifiés de se connecter en tant qu’un utilisateur dont l’adresse email est connue (y compris les administrateurs).

- Statut : priorité
- Vecteur : authentification via une API plugin sans authentification
- CVE-2026-84737 (WordPress) · CVSS 9.8 : Authentification non autorisée · https://github.com/advisories/GHSA-82jr-xj5x-xpj4

Systèmes impactés :

- WordPress : Freeton WP WordPress plugin <= 1.0.0

Correctif : Correctifs non fournis dans l’entrée? Voir l’avis éditeur

Action : Mettre à jour les plugins WordPress vers des versions sûres dès que disponibles et retirer les comptes non nécessaires.

Recommandations :

- Mettre à jour le plugin Freeton WP WordPress vers une version non affectée.
- Désactiver et retirer les plugins non essentiels.

Sources :

- [GitHub Advisories — WordPress plugin security](https://github.com/advisories)
- [NVD - CVE-2026-84737](https://nvd.nist.gov/vuln/detail/CVE-2026-84737)

## 2. WordPress — Plugins : The AI Content Generator Marketing WordPress plugin through 1.0.0 ne vérifie pas les nonce ou capacités sur certaines actions AJAX

Le plugin AI Content Generator Marketing WordPress jusqu’à la version 1.0.0 n’impose pas de nonce ou de vérification de capacité sur certaines actions AJAX, permettant à des utilisateurs non authentifiés de mettre à jour et supprimer des options WordPress arbitraires et potentiellement obtenir un accès administrateur.

- Statut : priorité
- Vecteur : AJAX actions sans nonce ni contrôle d’autorisation
- CVE-2026-85118 (WordPress) · CVSS 9.8 : Contrôle d’accès insuffisant / Exécution d’action sans nonce · https://github.com/advisories/GHSA-rx89-7fw5-qgmg

Systèmes impactés :

- WordPress : AI Content Generator Marketing WordPress plugin <= 1.0.0

Correctif : Correctifs non fournis dans l’entrée? Voir l’avis éditeur

Action : Éliminer les actions AJAX non sécurisées et déployer un correctif officiel dès que disponible.

Recommandations :

- Appliquer le correctif officiel et retirer les actions AJAX non sécurisées.
- Auditer les paramètres et options stockées par le plugin et restaurer les valeurs sensibles.

Sources :

- [GitHub Advisories — WordPress plugin security](https://github.com/advisories)
- [NVD - CVE-2026-85118](https://nvd.nist.gov/vuln/detail/CVE-2026-85118)

## 3. WordPress — Plugins : The Mindstien Quick Login WordPress plugin through 1.0 ne valide pas correctement une valeur de la requête contre la session lors de l’authentification

Le plugin Mindstien Quick Login WordPress jusqu’à la version 1.0 ne valide pas correctement une valeur fournie dans la requête par rapport à la session de l’utilisateur, permettant à des attaquants non authentifiés d’obtenir une session en tant que compte administrateur.

- Statut : priorité
- Vecteur : authentification via une valeur de session non vérifiée
- CVE-2026-84734 (WordPress) · CVSS 9.8 : Contournement d’authentification / Authentification forcée · https://github.com/advisories/GHSA-78rw-wp89-q5cq

Systèmes impactés :

- WordPress : Mindstien Quick Login WordPress plugin <= 1.0

Correctif : Correctifs non fournis dans l’entrée? Voir l’avis éditeur

Action : Mettre à jour le plugin vers une version sécurisée et revoir la logique d’authentification.

Recommandations :

- Désactiver ou désinstaller le plugin immédiatement jusqu’à un correctif.
- Passer en revue les contrôles d’authentification et limiter les possibilités d’authentification via des plugins.

Sources :

- [GitHub Advisories — WordPress plugin security](https://github.com/advisories)
- [NVD - CVE-2026-84734](https://nvd.nist.gov/vuln/detail/CVE-2026-84734)

## 4. WordPress — Plugins : The click5 CRM add-on to Contact Form 7 WordPress plugin through 1.0.4 n’a pas vérifié l’autorisation et ne vérifie pas les CSRF lors de la mise à jour des options via un endpoint REST

Le plugin Click5 CRM pour Contact Form 7 WordPress jusqu’à la v1.0.4 ne vérifie pas l’appartenance des options mises à jour et n’effectue pas de contrôles CSRF, permettant à des attaquants non authentifiés de changer des options du blog et potentiellement créer un compte administrateur.

- Statut : priorité
- Vecteur : endpoint REST sans autorisation et CSRF non protégé
- CVE-2026-84254 (WordPress) · CVSS 9.8 : Contrôle d’accès insuffisant / CSRF · https://github.com/advisories/GHSA-xj8c-cq6p-8j43

Systèmes impactés :

- WordPress : click5 CRM add-on for Contact Form 7 <= 1.0.4

Correctif : Correctifs non fournis dans l’entrée? Voir l’avis éditeur

Action : Évaluer et appliquer les correctifs du plugin; limiter les méthodes REST exposées.

Recommandations :

- Mettre à jour le plugin Click5 CRM vers une version qui corrige les contrôles d’accès.
- Éliminer les endpoints REST non nécessaires et activer les protections CSRF.

Sources :

- [GitHub Advisories — WordPress plugin security](https://github.com/advisories)
- [NVD - CVE-2026-84254](https://nvd.nist.gov/vuln/detail/CVE-2026-84254)

## À surveiller

- [WordPress plugins multiples (GHSA) — surveillance recommandée](https://www.ghsa.org) : Surveiller les nouveaux avis GHSA relatifs à WordPress et appliquer les correctifs rapidement. Priorité haute sur les plugins d’authentification et d’options REST.

## Sources du bulletin

- [CERT-FR — avis et alertes](https://www.cert.ssi.gouv.fr/avis/)
- [NIST — National Vulnerability Database](https://nvd.nist.gov/vuln/search)
- [GitHub — Security Advisories](https://github.com/advisories)
- [CISA — Known Exploited Vulnerabilities](https://www.cisa.gov/known-exploited-vulnerabilities-catalog)

Source : Kreomnis Vigie, https://kreomnisvigie.com/bulletins/2026-10-12. Bulletin établi depuis CERT-FR, NVD, GitHub Security Advisories et CISA KEV.