Veille sécuritéCMS & e-commerce
P3Élevée
Limit Login Attempts Security avant la version 3.4.1 peut finaliser une connexion sans confirmer que l’étape d’authentification à deux facteurs a réussi, notamment lorsque sa construction échoue. Un attaquant connaissant déjà le mot de passe d’un compte protégé pourrait ainsi contourner le second facteur ; mettre à jour au moins vers la version 3.4.1.
WordPress
IdentifiantCVE-2026-118202
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif3.4.1
Source : NVD — CVE-2026-118202
Analyse technique
Échec de génération de l’étape 2FA traité comme un succès, sans vérification suffisante de la réussite de cette étape.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-09 à 07:17:28.490 UTC, soit 09:17:28.490+02:00, dans la période demandée. Sa mise à jour du 2026-11-10 est postérieure à la borne de fin et n’est pas retenue comme événement.
ImpactContournement de l’authentification à deux facteurs si le mot de passe du compte est connu.
Versions affectéesLimit Login Attempts Security avant 3.4.1
Version corrigée3.4.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
EPSS0,18% · percentile 7,9%
Publication2026-11-09T09:17:28.490+02:00
Action recommandée
Mettre à jour vers la version 3.4.1 ou ultérieure et vérifier les connexions des comptes protégés.
Sources
Priorisation DFS : P3 · 1 source(s).