MailOptin expose les comptes WordPress à une prise de contrôle

Veille sécuritéCMS & e-commerce

P3Critique

MailOptin peut permettre à un attaquant non authentifié de modifier le mot de passe d’un compte WordPress existant, y compris un compte administrateur, via un formulaire d’inscription publié. Les versions jusqu’à 1.2.78.6 inclus sont concernées ; aucun correctif n’est indiqué dans les données fournies.

IdentifiantCVE-2026-109515

GravitéCritique

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-109515

Analyse technique

Le point d’accès subscribe_to_email_list accepte des correspondances de champs arbitraires qui peuvent transmettre à wp_insert_user des colonnes telles que ID et user_pass ; un formulaire d’inscription WordPress doit être publié.

Impact, versions et correctif

Événement datéPublication NVD le 2026-10-16 ; l’événement retenu est la publication de la vulnérabilité, datée dans la période demandée.

ImpactPrise de contrôle possible de comptes WordPress, y compris administrateurs, et compromission du site.

Versions affectéesToutes les versions jusqu’à 1.2.78.6 inclus

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS9.8

EPSS0,44% · percentile 36,7%

Publication2026-10-16T05:17:29.597Z

Mise à jour2026-10-16T15:17:07.900Z

Action recommandée

Mettre à jour vers une version corrigée dès qu’elle est disponible ; retirer temporairement les formulaires d’inscription concernés si aucune mise à jour n’est disponible.

Sources

NVD — CVE-2026-109515

Priorisation DFS : P3 · 1 source(s).