MDJM Event Management et Mobile Events Manager traitent une requête de suppression de rôle à chaque chargement de page sans contrôle de capacité ni nonce, et le contrôle de protection des rôles ne porte pas sur la valeur effectivement supprimée. Un attaquant non authentifié peut supprimer n’importe quel rôle WordPress, y compris administrateur, ce qui prive les utilisateurs concernés de leurs capacités; désactiver les plugins jusqu’à l’installation d’un correctif.
Source : NVD — CVE-2026-88800
Analyse technique
Suppression de rôle déclenchée sans authentification, contrôle de capacité ni nonce; la garde de protection lit une autre partie de la requête que celle utilisée pour sélectionner le rôle.
Impact, versions et correctif
Action recommandée
Désactiver les plugins concernés jusqu’à l’installation d’un correctif et vérifier les rôles et capacités des comptes.
Sources
Priorisation DFS : P3 · 1 source(s).