Veille sécuritéCMS & e-commerce
P3Élevée
Les jetons de renouvellement déjà émis ne sont pas invalidés lors d’un changement ou d’une réinitialisation de mot de passe, ni lors du retrait d’un appareil connecté. Dans JWT Auth jusqu’à la version 3.0.2, un détenteur d’un tel jeton peut conserver l’accès au compte et obtenir de nouveaux jetons d’accès.
WordPress
IdentifiantCVE-2026-106466
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-106466
Analyse technique
La persistance d’un jeton de renouvellement peut maintenir un accès authentifié au compte, jusqu’au niveau administrateur.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-09 à 13:17:19 +02:00, dans la période demandée. Sa mise à jour ultérieure est postérieure à la période et n’est pas retenue comme événement.
ImpactUn attaquant disposant d’un jeton de renouvellement antérieur peut conserver l’accès au compte, y compris à un compte administrateur.
Versions affectéesJWT Auth jusqu’à la version 3.0.2 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
Publication2026-11-09T13:17:19.940+02:00
Mise à jour2026-11-09T13:17:19.940+02:00
Action recommandée
Mettre à jour l’extension lorsqu’un correctif est disponible et révoquer les sessions ou jetons potentiellement exposés.
Sources
Priorisation DFS : P3 · 1 source(s).