Qode Membership : contournement d’authentification et prise de compte

Veille sécuritéCMS & e-commerce

P3Critique

Qode Membership jusqu’à la version 2.0.6.2 incluse présente un contournement d’authentification pouvant mener à la prise de contrôle de compte. L’avis indique qu’un attaquant non authentifié peut viser un compte existant, y compris administrateur, via l’action AJAX de connexion Facebook lorsque le nonce requis est accessible sur une page publique utilisant les shortcodes concernés.

IdentifiantCVE-2026-92885

GravitéCritique

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-92885

Analyse technique

Une erreur typographique dans la garde de validation du jeton OAuth rend la vérification du jeton inopérante; la prise de contrôle décrite requiert l’obtention d’un nonce exposé par certains shortcodes publics.

Impact, versions et correctif

Événement datéLa fiche CVE a été publiée le 2026-10-27T09:16:34.630Z, dans la période demandée. La mise à jour NVD le même jour à 14:52:13.410Z est également dans la période, mais les éléments fournis ne permettent pas d’établir un changement substantiel distinct.

ImpactConnexion possible à un compte existant, avec risque de prise de contrôle d’un compte administrateur.

Versions affectéesToutes les versions jusqu’à 2.0.6.2 inclus

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS9.8

EPSS0,37% · percentile 30,5%

Publication2026-10-27T09:16:34.630Z

Mise à jour2026-10-27T14:52:13.410Z

Action recommandée

Mettre à jour vers une version corrigée dès sa disponibilité et limiter l’exposition des fonctionnalités de connexion sociale.

Sources

NVD — CVE-2026-92885

Priorisation DFS : P3 · 1 source(s).