Veille sécuritéCMS & e-commerce
P3Élevée
miniOrange 2FA permet à une connexion par passkey encore en attente d’enregistrer une passkey supplémentaire sur un compte qui en possède déjà une. Un attaquant connaissant le mot de passe de la victime peut ainsi ajouter son propre authentificateur et contourner le second facteur.
WordPress
IdentifiantCVE-2026-111949
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif6.3.1
Source : NVD — CVE-2026-111949
Analyse technique
L’enregistrement d’une passkey supplémentaire n’est pas bloqué pendant une connexion par passkey en attente.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-21T06:16:48.543Z, dans la période demandée.
ImpactUn attaquant connaissant le mot de passe peut enregistrer son propre authentificateur et contourner le second facteur.
Versions affectéesminiOrange 2FA pour WordPress avant 6.3.1
Version corrigée6.3.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
EPSS0,15% · percentile 3,6%
Publication2026-10-21T06:16:48.543Z
Mise à jour2026-10-21T18:37:38.700Z
Action recommandée
Mettre à jour miniOrange 2FA vers la version 6.3.1 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).