# CVE-2026-108107 : Consolidation des vulnérabilités WordPress liées à des plugins étendus

> Exploitation critique dans de nombreux plugins WordPress exposés sur le web (authentification, contrôle d’accès, XSS, exécution de code, etc.).

- Page canonique : https://kreomnisvigie.com/cve/cve-2026-108107-wordpress
- Sévérité : Critique · CVSS 9.8 · CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- CISA KEV (exploitation observée) : non
- Éditeur : WordPress
- Produits : WordPress Core / Plugins (WordPress)
- Correctif disponible : non · PoC public : non · Exploitée : non
- Publiée le 12 octobre 2026 · Kreomnis Vigie
- Issue du bulletin du 12 octobre 2026 (Récap du week-end, 9 – 11 octobre 2026)
- Mots clés : wordpress, injection-sql-non, clickjacking-origin-framing

## Action recommandée

Étant donné l’étendue, privilégier la mise à jour des plugins identifiés comme vulnérables et la révision des droits des utilisateurs.

## 2 CVE dans cet advisory

- CVE-2026-108107 (PHPNuxBill) · CVSS 9.8 : Injection SQL non authentifiée
- CVE-2026-108261 (TinaCMS / WordPress) · CVSS 9.3 : Clickjacking/Origin framing

## Le contexte

Exploitation critique dans de nombreux plugins WordPress exposés sur le web (authentification, contrôle d’accès, XSS, exécution de code, etc.).

## Vecteur d'attaque

plugins WordPress vulnérables via des actions AJAX non protégées, endpoints REST non sécurisés, ou écriture de fichiers malveillants

## Systèmes impactés

| Produit | Versions affectées | Versions corrigées |
| --- | --- | --- |
| WordPress Core / Plugins (WordPress) | Multiple plugins listés ci-dessous | non communiquée |

Non affecté : voir l'avis de l'éditeur

Statut du correctif : voir l'avis de l'éditeur

## Les vulnérabilités

### CVE-2026-108107 : Injection SQL non authentifiée

PHPNuxBill · CVSS 9.8

Vulnérabilité SQL injection via le endpoint REST radius.php

Impact : Exposition de données clients et potentielles compromissions

`CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`

### CVE-2026-108261 : Clickjacking/Origin framing

TinaCMS / WordPress · CVSS 9.3

TinaCMS admin previews iframe loads attacker-controlled origin

Impact : Attaquant peut exécuter GraphQL avec token utilisateur connecté

`CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N`

## Recommandations

- Mettre à jour les plugins listés comme vulnérables et vérifier les endpoints REST et AJAX.
- Désactiver ou désinstaller les extensions non utilisées et durcir les permissions des API.
- Mettre en place WAF et règles spécifiques pour bloquer les patterns connus.

## Ce qu'il faut retenir

Étant donné l’étendue, privilégier la mise à jour des plugins identifiés comme vulnérables et la révision des droits des utilisateurs.

Analyse issue du bulletin de veille Kreomnis du 12 octobre 2026 (fenêtre : Récap du week-end, 9 – 11 octobre 2026). Sources croisées listées ci-dessous.

- Kreomnis Vigie

## Références

- [CERT-FR — avis: vulnérabilités WordPress et plugins](https://www.cert.ssi.gouv.fr/avis/CERTFR-2026-AVI-1283/) (cert-fr)
- [GHSA — WordPress Advisories](https://github.com/advisories) (vendor)
- [CVE-2026-108107 : source primaire](https://www.cve.org/CVERecord?id=CVE-2026-108107) (nvd)
- [CVE-2026-108261 : source primaire](https://www.cve.org/CVERecord?id=CVE-2026-108261) (nvd)

Source : Kreomnis Vigie, https://kreomnisvigie.com/cve/cve-2026-108107-wordpress. Analyse à usage défensif uniquement.