Wild Apricot Login : usurpation de compte par association SSO fondée sur l’e-mail

Veille sécuritéCMS & e-commerce

P3Élevée

Wild Apricot Login pour WordPress pouvait associer une connexion SSO à un compte existant sur la seule correspondance d’adresse e-mail, sans preuve que l’utilisateur contrôlait ce compte. Un utilisateur WildApricot pouvant faire correspondre son adresse à celle d’un administrateur WordPress pouvait ainsi obtenir une session pour ce compte, sous les conditions décrites pour les réseaux Multisite concernés.

IdentifiantCVE-2026-93757

GravitéÉlevée

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-93757

Analyse technique

En l’absence de correspondance d’identifiant de contact, le plugin recherchait un compte WordPress par adresse e-mail puis ouvrait une session sans vérification de propriété du compte.

Impact, versions et correctif

Événement datéNouvelle vulnérabilité publiée dans la fiche NVD le 2026-10-29T04:18:43.763Z, date située dans la période demandée.

ImpactUn compte WordPress existant, notamment administrateur, pouvait être compromis dans les conditions décrites.

Versions affectéesToutes les versions jusqu’à 1.0.18 incluse

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.5

EPSS0,43% · percentile 36,7%

Publication2026-10-29T04:18:43.763Z

Mise à jour2026-10-29T14:56:26.107Z

Action recommandée

Désactiver le plugin jusqu’à disponibilité d’un correctif confirmé et vérifier les comptes liés au SSO.

Sources

NVD — CVE-2026-93757

Priorisation DFS : P3 · 1 source(s).