Veille sécuritéCMS & e-commerce
P4Moyenne
WP Compress jusqu’à la version 7.25.00 incluse permet une escalade de privilèges par écriture non autorisée des réglages du plugin. La chaîne décrite peut être exploitée sans compte WordPress pour conférer à des rôles, y compris Subscriber, des capacités d’administration du plugin.
WordPress
IdentifiantCVE-2026-104755
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-104755
Analyse technique
Le répartiteur start_comms ne vérifie ni capacité WordPress ni nonce et transmet des paramètres non validés à une fonction qui modifie les réglages. Une action AJAX non authentifiée peut divulguer la clé API nécessaire à la chaîne d’exploitation.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée pendant la période demandée, le 2026-10-16.
ImpactUn attaquant peut modifier les réglages du plugin et obtenir un contrôle équivalent à celui d’un administrateur du plugin sur ses fonctions d’optimisation, de CDN et de CSS critique.
Versions affectéesToutes les versions jusqu’à 7.25.00 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.8
EPSS0,31% · percentile 22,3%
Publication2026-10-16T07:17:08.413Z
Mise à jour2026-10-16T15:17:03.683Z
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible et limiter l’exposition du plugin jusque-là.
Sources
Priorisation DFS : P4 · 1 source(s).