Veille sécuritéCMS & e-commerce
P4Moyenne
WPOrLogin ne vérifiait ni les capacités de l’utilisateur ni la validité d’un nonce avant de modifier les réglages de l’URL de connexion masquée. Un attaquant non authentifié pouvait réassigner les chemins de connexion, d’inscription et de récupération du mot de passe, et empêcher l’administrateur d’accéder à l’interface de connexion habituelle.
WordPress
IdentifiantCVE-2026-110691
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif3.1.0
Source : NVD — CVE-2026-110691
Analyse technique
La modification des paramètres d’URL de connexion ne comportait pas de contrôle de capacité ni de validation de nonce.
Impact, versions et correctif
Événement datéPublication de la fiche NVD le 2026-10-28, dans la période demandée.
ImpactRéassignation des URL de connexion, d’inscription et de récupération, susceptible de bloquer l’accès administratif.
Versions affectéesWPOrLogin avant 3.1.0
Version corrigée3.1.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.5
EPSS0,15% · percentile 4,4%
Publication2026-10-28T06:16:33.973Z
Mise à jour2026-10-28T18:17:06.693Z
Action recommandée
Mettre à jour WPOrLogin vers la version 3.1.0 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).