Veille sécuritéCMS & e-commerce
P4Non déterminée
Sur WordPress Multisite, un administrateur de site peut supprimer la configuration d’authentification à deux facteurs d’utilisateurs relevant d’autres sites, faute de contrôle de capacité au niveau de l’objet. Mettre à jour WP 2FA vers la version 4.2.0 ou ultérieure.
WordPress
IdentifiantCVE-2026-108066
GravitéNon déterminée
Exploitationnon connue / non déterminée
Correctif4.2.0
Source : NVD — CVE-2026-108066
Analyse technique
Le problème traverse une frontière de confiance dans les installations Multisite; le résumé indique qu’il ne constitue pas ce même franchissement sur une installation monoposte.
Impact, versions et correctif
Événement datéLa fiche NVD est datée du 2026-10-14 et décrit une vulnérabilité nouvellement publiée, et non une simple modification administrative; cette date se situe dans la période demandée.
ImpactUn administrateur de site sur WordPress Multisite peut désactiver la 2FA d’utilisateurs d’autres sites, y compris ceux qu’il n’est pas autorisé à gérer.
Versions affectéesWP 2FA avant 4.2.0
Version corrigée4.2.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
EPSS0,22% · percentile 11,7%
Publication2026-10-14T07:17:02.303Z
Mise à jour2026-10-14T16:14:02.800Z
Action recommandée
Mettre à jour WP 2FA vers la version 4.2.0 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).