The Mindstien Quick Login WordPress plugin through 1.0 ne valide pas correctement une valeur de la requête contre la session lors de l’authentification
Mettre à jour le plugin vers une version sécurisée et revoir la logique d’authentification.
- WordPress
Le contexte
Le plugin Mindstien Quick Login WordPress jusqu’à la version 1.0 ne valide pas correctement une valeur fournie dans la requête par rapport à la session de l’utilisateur, permettant à des attaquants non authentifiés d’obtenir une session en tant que compte administrateur.
Vecteur d'attaque
authentification via une valeur de session non vérifiée
Systèmes impactés
| Produit | Versions affectées | Versions corrigées | | --- | --- | --- | | WordPress | Mindstien Quick Login WordPress plugin <= 1.0 | non communiquée |
Non affecté : voir l'avis de l'éditeur
Statut du correctif : Correctifs non fournis dans l’entrée? Voir l’avis éditeur
La vulnérabilité
CVE-2026-84734 : Contournement d’authentification / Authentification forcée
WordPress · CVSS 9.8
The Mindstien Quick Login WordPress plugin through 1.0 does not correctly validate a value supplied in the request against the visitor's own session before authenticating them, allowing unauthenticated attackers to obtain a session as the administrator account the Mindstien Quick Login WordPress plugin through 1.0 is configured with.
Impact : Privilèges d’administrateur compromis
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Recommandations
- Désactiver ou désinstaller le plugin immédiatement jusqu’à un correctif.
- Passer en revue les contrôles d’authentification et limiter les possibilités d’authentification via des plugins.
Ce qu'il faut retenir
Mettre à jour le plugin vers une version sécurisée et revoir la logique d’authentification.
Analyse issue du bulletin de veille Kreomnis du 12 octobre 2026 (fenêtre : 11 octobre 2026). Sources croisées listées ci-dessous.
- Kreomnis Vigie