# CVE-2026-84734 : The Mindstien Quick Login WordPress plugin through 1.0 ne valide pas correctement une valeur de la requête contre la session lors de l’authentification

> Le plugin Mindstien Quick Login WordPress jusqu’à la version 1.0 ne valide pas correctement une valeur fournie dans la requête par rapport à la session de l’utilisateur, permettant à des attaquants non authentifiés d’obtenir une session…

- Page canonique : https://kreomnisvigie.com/cve/cve-2026-84734-wordpress-plugins
- Sévérité : Critique · CVSS 9.8 · CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- CISA KEV (exploitation observée) : non
- Éditeur : WordPress — Plugins
- Produits : WordPress
- Correctif disponible : non · PoC public : non · Exploitée : non
- Publiée le 12 octobre 2026 · Kreomnis Vigie
- Issue du bulletin du 12 octobre 2026 (11 octobre 2026)
- Mots clés : wordpress-plugins, contournement-d-authentification

## Action recommandée

Mettre à jour le plugin vers une version sécurisée et revoir la logique d’authentification.

## Le contexte

Le plugin Mindstien Quick Login WordPress jusqu’à la version 1.0 ne valide pas correctement une valeur fournie dans la requête par rapport à la session de l’utilisateur, permettant à des attaquants non authentifiés d’obtenir une session en tant que compte administrateur.

## Vecteur d'attaque

authentification via une valeur de session non vérifiée

## Systèmes impactés

| Produit | Versions affectées | Versions corrigées |
| --- | --- | --- |
| WordPress | Mindstien Quick Login WordPress plugin \<= 1.0 | non communiquée |

Non affecté : voir l'avis de l'éditeur

Statut du correctif : Correctifs non fournis dans l’entrée? Voir l’avis éditeur

## La vulnérabilité

### CVE-2026-84734 : Contournement d’authentification / Authentification forcée

WordPress · CVSS 9.8

The Mindstien Quick Login WordPress plugin through 1.0 does not correctly validate a value supplied in the request against the visitor's own session before authenticating them, allowing unauthenticated attackers to obtain a session as the administrator account the Mindstien Quick Login WordPress plugin through 1.0 is configured with.

Impact : Privilèges d’administrateur compromis

`CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`

## Recommandations

- Désactiver ou désinstaller le plugin immédiatement jusqu’à un correctif.
- Passer en revue les contrôles d’authentification et limiter les possibilités d’authentification via des plugins.

## Ce qu'il faut retenir

Mettre à jour le plugin vers une version sécurisée et revoir la logique d’authentification.

Analyse issue du bulletin de veille Kreomnis du 12 octobre 2026 (fenêtre : 11 octobre 2026). Sources croisées listées ci-dessous.

- Kreomnis Vigie

## Références

- [GitHub Advisories — WordPress plugin security](https://github.com/advisories) (vendor)
- [NVD - CVE-2026-84734](https://nvd.nist.gov/vuln/detail/CVE-2026-84734) (nvd)
- [CVE-2026-84734 : source primaire](https://github.com/advisories/GHSA-78rw-wp89-q5cq) (nvd)

Source : Kreomnis Vigie, https://kreomnisvigie.com/cve/cve-2026-84734-wordpress-plugins. Analyse à usage défensif uniquement.