Limit Login Attempts Security : contournement du second facteur

Veille sécuritéCMS & e-commerce

P3Élevée

Limit Login Attempts Security avant la version 3.4.1 n’applique pas l’authentification à deux facteurs sur toutes les voies de connexion par mot de passe. Une personne disposant déjà du mot de passe d’un utilisateur protégé pourrait contourner le second facteur par une interface alternative ; mettre à jour au moins vers la version 3.4.1.

IdentifiantCVE-2026-118201

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif3.4.1

Source : NVD — CVE-2026-118201

Analyse technique

Le second facteur n’est pas imposé sur chaque parcours d’authentification par mot de passe. Une source consultée affiche un score différent de celui du candidat ; le score n’est donc pas repris.

Impact, versions et correctif

Événement datéLa fiche NVD fournie date du 2026-11-09 à 07:17:28.357 UTC, soit 09:17:28.357+02:00, dans la période demandée. Une source consultée rapporte également cette CVE comme publiée le 2026-11-09 ; sa notation diverge du candidat, sans changer le fait de publication retenu.

ImpactContournement du second facteur et accès au compte si son mot de passe est déjà connu.

Versions affectéesLimit Login Attempts Security avant 3.4.1

Version corrigée3.4.1

Exploitation activenon connue / non déterminée

PoC publicinconnu

EPSS0,17% · percentile 6,6%

Publication2026-11-09T09:17:28.357+02:00

Action recommandée

Mettre à jour vers la version 3.4.1 ou ultérieure ; demander aux utilisateurs concernés de changer les mots de passe susceptibles d’avoir été compromis.

Sources

NVD — CVE-2026-118201

Priorisation DFS : P3 · 1 source(s).