CVE-2026-84737Critique9.8

The Freeton WP WordPress plugin through 1.0.0 permet l’authentification non authentifiée via l’adresse email connue

Publiée le 12/10/2026// Kreomnis Vigie

◆ Veille automatiséeIssue du bulletin du 12/10/2026 · fenêtre 11 octobre 2026sources croisées, relecture Kreomnis

Action recommandée

Mettre à jour les plugins WordPress vers des versions sûres dès que disponibles et retirer les comptes non nécessaires.

Correctifs non fournis dans l’entrée? Voir l’avis éditeur

CVSS 3.1

9.8

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

EPSS : probabilité d'exploitation

Source : FIRST.org, modèle EPSS v3

Produits/versions affectés

WordPress

Le contexte

Le plugin Freeton WP WordPress jusqu’à la version 1.0.0 ne valide pas correctement le code d’activation lors de l’authentification d’un utilisateur, permettant à des attaquants non authentifiés de se connecter en tant qu’un utilisateur dont l’adresse email est connue (y compris les administrateurs).

Vecteur d'attaque

authentification via une API plugin sans authentification

Systèmes impactés

| Produit | Versions affectées | Versions corrigées | | --- | --- | --- | | WordPress | Freeton WP WordPress plugin <= 1.0.0 | non communiquée |

Non affecté : voir l'avis de l'éditeur

Statut du correctif : Correctifs non fournis dans l’entrée? Voir l’avis éditeur

La vulnérabilité

CVE-2026-84737 : Authentification non autorisée

WordPress · CVSS 9.8

The Freeton WP WordPress plugin through 1.0.0 does not correctly validate the activation code when authenticating a user, allowing unauthenticated attackers to log in as any user whose email address they know, including administrators.

Impact : Accès administrateur et contrôle total du site via authentification biaisée

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Recommandations

Mettre à jour le plugin Freeton WP WordPress vers une version non affectée.
Désactiver et retirer les plugins non essentiels.

Ce qu'il faut retenir