Veille sécuritéCMS & e-commerce
P3Critique
LogixFast Auth avant la version 1.0.4 envoie le code à usage unique de réinitialisation du mot de passe à l’adresse fournie dans la requête, au lieu de l’adresse associée au compte. Un attaquant non authentifié peut ainsi réinitialiser le mot de passe d’un utilisateur, y compris d’un administrateur, et prendre le contrôle du compte ; mettez le plugin à jour vers la version 1.0.4 ou ultérieure.
WordPress
IdentifiantCVE-2026-113616
GravitéCritique
Exploitationnon connue / non déterminée
Correctif1.0.4
Source : NVD — CVE-2026-113616
Analyse technique
Le code de réinitialisation est envoyé à l’adresse fournie par le demandeur plutôt qu’à celle du compte résolu.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-29, dans la période demandée ; l’entrée décrit une vulnérabilité, et non seulement une modification administrative.
ImpactPrise de contrôle de comptes, potentiellement administrateurs.
Versions affectéesLogixFast Auth < 1.0.4
Version corrigée1.0.4
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.8
EPSS0,15% · percentile 3,9%
Publication2026-10-29T06:17:18.740Z
Mise à jour2026-10-29T15:18:27.920Z
Action recommandée
Mettre à jour LogixFast Auth vers la version 1.0.4 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).