Veille sécuritéCMS & e-commerce
P4Faible
Le plugin WP Post Author ne vérifie pas correctement qu’un compte a été créé avant de mettre à jour son profil lors d’une inscription depuis le front-end. Un utilisateur non authentifié peut modifier le nom affiché, le surnom et le site web du premier compte utilisateur, généralement celui de l’administrateur, lorsque le formulaire d’inscription déclare l’un de ces champs.
WordPress
IdentifiantCVE-2026-108685
GravitéFaible
Exploitationnon connue / non déterminée
Correctif4.2.0
Source : NVD — CVE-2026-108685
Analyse technique
La mise à jour de profil n’est pas liée de façon fiable au compte créé par l’inscription front-end.
Impact, versions et correctif
Événement datéLa fiche NVD indique une première publication le 2026-10-29T06:17:17.443Z, dans la période demandée ; la description fournie indique la version corrigée 4.2.0.
ImpactModification possible de certaines informations du premier compte utilisateur, généralement administrateur.
Versions affectéesVersions antérieures à 4.2.0
Version corrigée4.2.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS3.7
EPSS0,20% · percentile 9,6%
Publication2026-10-29T06:17:17.443Z
Mise à jour2026-10-29T15:18:27.920Z
Action recommandée
Mettre à jour le plugin vers la version 4.2.0 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).