Consolidation des vulnérabilités WordPress liées à des plugins étendus
Étant donné l’étendue, privilégier la mise à jour des plugins identifiés comme vulnérables et la révision des droits des utilisateurs.
- WordPress Core / Plugins (WordPress)
Le contexte
Exploitation critique dans de nombreux plugins WordPress exposés sur le web (authentification, contrôle d’accès, XSS, exécution de code, etc.).
Vecteur d'attaque
plugins WordPress vulnérables via des actions AJAX non protégées, endpoints REST non sécurisés, ou écriture de fichiers malveillants
Systèmes impactés
| Produit | Versions affectées | Versions corrigées | | --- | --- | --- | | WordPress Core / Plugins (WordPress) | Multiple plugins listés ci-dessous | non communiquée |
Non affecté : voir l'avis de l'éditeur
Statut du correctif : voir l'avis de l'éditeur
Les vulnérabilités
CVE-2026-108107 : Injection SQL non authentifiée
PHPNuxBill · CVSS 9.8
Vulnérabilité SQL injection via le endpoint REST radius.php
Impact : Exposition de données clients et potentielles compromissions
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVE-2026-108261 : Clickjacking/Origin framing
TinaCMS / WordPress · CVSS 9.3
TinaCMS admin previews iframe loads attacker-controlled origin
Impact : Attaquant peut exécuter GraphQL avec token utilisateur connecté
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N
Recommandations
- Mettre à jour les plugins listés comme vulnérables et vérifier les endpoints REST et AJAX.
- Désactiver ou désinstaller les extensions non utilisées et durcir les permissions des API.
- Mettre en place WAF et règles spécifiques pour bloquer les patterns connus.
Ce qu'il faut retenir
Étant donné l’étendue, privilégier la mise à jour des plugins identifiés comme vulnérables et la révision des droits des utilisateurs.
Analyse issue du bulletin de veille Kreomnis du 12 octobre 2026 (fenêtre : Récap du week-end, 9 – 11 octobre 2026). Sources croisées listées ci-dessous.
- Kreomnis Vigie