Le plugin Bit Integrations pour WordPress jusqu’à la version 2.10.6 incluse présente une faille de réexécution de journaux pouvant permettre à un attaquant non authentifié de modifier le mot de passe d’un administrateur. L’attaque dépend d’une configuration particulière d’un flux et de la réexécution ultérieure par un administrateur d’une entrée de journal produite par une soumission anonyme ; aucune version corrigée ni mesure de contournement n’est précisée dans les éléments fournis.
Source : NVD — CVE-2026-104749
Analyse technique
Les données contrôlées par l’attaquant peuvent être enregistrées lors d’une requête frontale anonyme, puis réinjectées dans un flux sous la session de l’administrateur lorsqu’il choisit « Re-execute ». Le scénario décrit exige un flux configuré pour transmettre un champ fourni par l’utilisateur au paramètre user_pass de l’action WP User Registration « Update User », puis la réexécution du journal correspondant par un administrateur.
Impact, versions et correctif
Action recommandée
Examiner les flux configurés et éviter la réexécution de journaux issus de soumissions anonymes jusqu’à disponibilité d’un correctif ; aucune version corrigée n’est indiquée dans la source fournie.
Sources
Priorisation DFS : P3 · 1 source(s).