Veille sécuritéCMS & e-commerce
P3Élevée
WP User Manager ne maintient pas les restrictions d’inscription payante lorsque la passerelle de paiement est déconnectée, alors qu’un formulaire publié continue d’attribuer le rôle configuré. Un visiteur non authentifié peut s’inscrire sans payer et obtenir un rôle privilégié équivalent à administrateur.
WordPress
IdentifiantCVE-2026-110523
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif2.9.26
Source : NVD — CVE-2026-110523
Analyse technique
Les restrictions de capacité liées au paiement ne sont plus appliquées après déconnexion de la passerelle, malgré l’attribution persistante du rôle du formulaire.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-21T06:16:47.830Z, dans la période demandée.
ImpactUn utilisateur non authentifié peut obtenir, sans paiement, le rôle privilégié configuré sur le formulaire.
Versions affectéesWP User Manager pour WordPress avant 2.9.26
Version corrigée2.9.26
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.1
EPSS0,15% · percentile 4,1%
Publication2026-10-21T06:16:47.830Z
Mise à jour2026-10-21T18:37:38.700Z
Action recommandée
Mettre à jour WP User Manager vers la version 2.9.26 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).