InstaWP Connect : élévation de privilèges via exposition de clé API

Veille sécuritéCMS & e-commerce

P3Élevée

CVE-2026-109400 affecte InstaWP Connect jusqu’à la version 0.1.4.1 incluse et peut permettre à certains utilisateurs abonnés d’obtenir une clé API, puis d’élever leurs privilèges jusqu’au compte administrateur. L’exploitation dépend de la connexion active du site à InstaWP et d’une configuration donnant accès à l’onglet de synchronisation ; aucun correctif n’est précisé dans les données fournies.

IdentifiantCVE-2026-109400

GravitéÉlevée

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-109400

Analyse technique

La clé API maître peut être affichée en clair dans les réglages accessibles selon le rôle ; elle permet ensuite d’obtenir via l’API une URL de connexion administrateur à usage unique.

Impact, versions et correctif

Événement datéFiche NVD publiée le 2026-10-16 et mise à jour le 2026-10-16 ; les informations décrivent une élévation de privilèges, pas une simple modification administrative.

ImpactUn utilisateur de faible privilège peut potentiellement obtenir une session administrateur.

Versions affectéesToutes les versions jusqu’à 0.1.4.1 incluse.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.5

EPSS0,35% · percentile 27,1%

Publication2026-10-16T05:17:29.350Z

Mise à jour2026-10-16T16:17:03.387Z

Action recommandée

Mettre à jour vers une version corrigée dès qu’elle est disponible, restreindre les rôles autorisés et renouveler la clé API si elle a pu être exposée.

Sources

NVD — CVE-2026-109400

Priorisation DFS : P3 · 1 source(s).