# CVE-2026-84737 : The Freeton WP WordPress plugin through 1.0.0 permet l’authentification non authentifiée via l’adresse email connue

> Le plugin Freeton WP WordPress jusqu’à la version 1.0.0 ne valide pas correctement le code d’activation lors de l’authentification d’un utilisateur, permettant à des attaquants non authentifiés de se connecter en tant qu’un utilisateur…

- Page canonique : https://kreomnisvigie.com/cve/cve-2026-84737-wordpress-plugins
- Sévérité : Critique · CVSS 9.8 · CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- CISA KEV (exploitation observée) : non
- Éditeur : WordPress — Plugins
- Produits : WordPress
- Correctif disponible : non · PoC public : non · Exploitée : non
- Publiée le 12 octobre 2026 · Kreomnis Vigie
- Issue du bulletin du 12 octobre 2026 (11 octobre 2026)
- Mots clés : wordpress-plugins, authentification-non-autorisee

## Action recommandée

Mettre à jour les plugins WordPress vers des versions sûres dès que disponibles et retirer les comptes non nécessaires.

## Le contexte

Le plugin Freeton WP WordPress jusqu’à la version 1.0.0 ne valide pas correctement le code d’activation lors de l’authentification d’un utilisateur, permettant à des attaquants non authentifiés de se connecter en tant qu’un utilisateur dont l’adresse email est connue (y compris les administrateurs).

## Vecteur d'attaque

authentification via une API plugin sans authentification

## Systèmes impactés

| Produit | Versions affectées | Versions corrigées |
| --- | --- | --- |
| WordPress | Freeton WP WordPress plugin \<= 1.0.0 | non communiquée |

Non affecté : voir l'avis de l'éditeur

Statut du correctif : Correctifs non fournis dans l’entrée? Voir l’avis éditeur

## La vulnérabilité

### CVE-2026-84737 : Authentification non autorisée

WordPress · CVSS 9.8

The Freeton WP WordPress plugin through 1.0.0 does not correctly validate the activation code when authenticating a user, allowing unauthenticated attackers to log in as any user whose email address they know, including administrators.

Impact : Accès administrateur et contrôle total du site via authentification biaisée

`CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`

## Recommandations

- Mettre à jour le plugin Freeton WP WordPress vers une version non affectée.
- Désactiver et retirer les plugins non essentiels.

## Ce qu'il faut retenir

Mettre à jour les plugins WordPress vers des versions sûres dès que disponibles et retirer les comptes non nécessaires.

Analyse issue du bulletin de veille Kreomnis du 12 octobre 2026 (fenêtre : 11 octobre 2026). Sources croisées listées ci-dessous.

- Kreomnis Vigie

## Références

- [GitHub Advisories — WordPress plugin security](https://github.com/advisories) (vendor)
- [NVD - CVE-2026-84737](https://nvd.nist.gov/vuln/detail/CVE-2026-84737) (nvd)
- [CVE-2026-84737 : source primaire](https://github.com/advisories/GHSA-82jr-xj5x-xpj4) (nvd)

Source : Kreomnis Vigie, https://kreomnisvigie.com/cve/cve-2026-84737-wordpress-plugins. Analyse à usage défensif uniquement.