Création possible de comptes administrateurs via BuddyForms

Veille sécuritéCMS & e-commerce

P3Critique

CVE-2026-107622 est une élévation de privilèges dans BuddyForms permettant, sous certaines conditions de configuration, à un attaquant non authentifié de créer un compte administrateur et de prendre le contrôle du site. Toutes les versions jusqu’à 2.10.5 incluse sont concernées ; aucun correctif n’est indiqué dans les données fournies.

IdentifiantCVE-2026-107622

GravitéCritique

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-107622

Analyse technique

Le traitement des soumissions publiques fait confiance au type de contenu fourni et enregistre des options de formulaire sans contrôle de capacité ni nonce adéquat.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication initiale le 2026-11-06 ; cette divulgation est dans la période demandée, indépendamment de ses modifications administratives.

ImpactCréation d’un compte administrateur et prise de contrôle complète du site.

Versions affectéesToutes les versions jusqu’à 2.10.5 incluse.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS9.8

Publication2026-11-06T12:17:16.020Z

Mise à jour2026-11-06T16:17:36.057Z

Détection / vérification

Les conditions indiquées sont l’inscription publique WordPress activée et au moins un formulaire public BuddyForms associé à une page.

Action recommandée

Mettre à jour BuddyForms dès qu’un correctif est disponible ; en attendant, désactiver l’inscription publique ou les formulaires publics concernés si possible.

Sources

NVD — CVE-2026-107622

Priorisation DFS : P3 · 1 source(s).