Défaut d’autorisation et prise de contrôle de compte dans User Profile Builder

Veille sécuritéCMS & e-commerce

P3Élevée

Dans User Profile Builder avant la version 4.0.5, le formulaire frontal de modification du profil ne vérifie pas que l’utilisateur est autorisé à modifier le compte sélectionné. Un administrateur de sous-site multisite peut ainsi changer l’adresse e-mail d’un autre compte, y compris celle d’un super-administrateur réseau, puis en prendre le contrôle via la réinitialisation du mot de passe; mettre à jour vers la version 4.0.5 ou ultérieure.

IdentifiantCVE-2026-111982

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif4.0.5

Source : NVD — CVE-2026-111982

Analyse technique

Défaut d’autorisation dans le formulaire frontal Edit Profile, exploitable par un administrateur d’un sous-site WordPress multisite pour modifier le compte d’un autre utilisateur.

Impact, versions et correctif

Événement datéLa fiche NVD a été publiée le 2026-10-23 à 08:17:06.097 +02:00, dans la période demandée.

ImpactModification de l’adresse e-mail d’autres utilisateurs et possibilité de prise de contrôle de leur compte par le flux de réinitialisation du mot de passe; les super-administrateurs réseau peuvent être ciblés.

Versions affectéesUser Profile Builder versions antérieures à 4.0.5

Version corrigée4.0.5

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.2

EPSS0,13% · percentile 2,5%

Publication2026-10-23T08:17:06.097+02:00

Mise à jour2026-10-23T16:20:57.920+02:00

Action recommandée

Mettre à jour User Profile Builder vers la version 4.0.5 ou ultérieure.

Sources

NVD — CVE-2026-111982

Priorisation DFS : P3 · 1 source(s).