Veille sécuritéCMS & e-commerce
P3Élevée
Two Factor Authentication avant 1.17.0 et All-In-One Security (AIOS) avant 5.5.0 ne lient pas le compte dont le code à deux facteurs est vérifié au compte en cours d’authentification. Un attaquant connaissant le mot de passe de la victime et disposant de son propre compte avec 2FA peut utiliser son propre code pour satisfaire la vérification de la victime ; mettez à jour le ou les plugins concernés.
WordPress
IdentifiantCVE-2026-111739
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif1.17.0 pour Two Factor Authentication ; 5.5.0 pour All-In-One Security (AIOS)
Source : NVD — CVE-2026-111739
Analyse technique
Le code 2FA vérifié n’est pas lié au compte faisant l’objet de l’authentification.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-29, dans la période demandée ; l’entrée décrit une vulnérabilité affectant les deux plugins, et non seulement une modification administrative.
ImpactUn attaquant connaissant le mot de passe de la victime peut obtenir sa session en validant le second facteur avec son propre code.
Versions affectéesTwo Factor Authentication < 1.17.0 ; All-In-One Security (AIOS) < 5.5.0
Version corrigée1.17.0 pour Two Factor Authentication ; 5.5.0 pour All-In-One Security (AIOS)
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
EPSS0,18% · percentile 7,7%
Publication2026-10-29T06:17:18.627Z
Mise à jour2026-10-29T15:18:27.920Z
Action recommandée
Mettre à jour Two Factor Authentication vers 1.17.0 ou ultérieure et AIOS vers 5.5.0 ou ultérieure, selon les plugins installés.
Sources
Priorisation DFS : P3 · 1 source(s).