Veille sécuritéCMS & e-commerce
P3Critique
Le plugin Userplace jusqu’à la version 1.2.0 expose une action AJAX sans contrôle d’autorisation et divulgue publiquement le nonce qui la protège. Un attaquant non authentifié peut ainsi créer un compte administrateur ou modifier des options du site, jusqu’à en prendre le contrôle.
WordPress
IdentifiantCVE-2026-110963
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-110963
Analyse technique
L’action AJAX est accessible sans authentification et ne vérifie pas les autorisations; le nonce associé est publiquement exposé.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-08, dans la période demandée; l’enregistrement fourni décrit la vulnérabilité, et non une simple modification administrative.
ImpactPrise de contrôle complète du site par création d’un administrateur ou modification d’options.
Versions affectéesUserplace jusqu’à 1.2.0 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.8
EPSS0,14% · percentile 3,1%
Publication2026-11-08T06:17:04.673Z
Mise à jour2026-11-08T19:17:33.837Z
Action recommandée
Mettre à jour Userplace vers une version corrigée dès qu’elle est disponible; à défaut, désactiver le plugin.
Sources
Priorisation DFS : P3 · 1 source(s).