Wp Social Login : contournement de l’authentification via connexion sociale

Veille sécuritéCMS & e-commerce

P3Élevée

Wp Social Login and Register Social Counter jusqu’à la version 3.2.2 peut authentifier un utilisateur WordPress à partir de la seule adresse électronique renvoyée par le fournisseur social. Un attaquant contrôlant un compte Facebook ou Twitter dont l’adresse correspond à celle d’un utilisateur du site pourrait obtenir une session, y compris celle d’un administrateur.

IdentifiantCVE-2026-103898

GravitéÉlevée

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-103898

Analyse technique

Le rappel REST social est public et recherche le compte local par adresse électronique avant de créer une session. Selon la source, le contrôle de vérification de l’adresse est inopérant pour les adaptateurs Facebook et Twitter intégrés.

Impact, versions et correctif

Événement datéFiche CVE publiée pendant la période le 2026-10-31 ; la mise à jour NVD postérieure au 2026-11-01 est exclue de l’évaluation.

ImpactPrise de contrôle de comptes WordPress, potentiellement administrateurs.

Versions affectéesToutes les versions jusqu’à 3.2.2 incluse.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS8.1

EPSS0,44% · percentile 38,2%

Publication2026-10-31T08:16:47.460Z

Action recommandée

Mettre à jour vers une version corrigée lorsqu’elle sera disponible ; désactiver la connexion sociale concernée dans l’intervalle si elle n’est pas indispensable.

Sources

NVD — CVE-2026-103898

Priorisation DFS : P3 · 1 source(s).