Veille sécuritéCMS & e-commerce
P3Critique
La publication NVD du 25 octobre signale que Datawiza Proxy Auth Plugin, avant la version 1.1.1, ne vérifie pas l’origine des en-têtes HTTP d’identité et de rôle qu’il utilise. Un attaquant non authentifié peut ainsi créer un compte WordPress et s’authentifier avec des privilèges d’administrateur.
WordPress
IdentifiantCVE-2026-115214
GravitéCritique
Exploitationnon connue / non déterminée
Correctif1.1.1
Source : NVD — CVE-2026-115214
Analyse technique
Le plugin fait confiance aux en-têtes HTTP d’identité et de rôle sans vérifier qu’ils proviennent d’un proxy inverse de confiance.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 25 octobre 2026 à 06:16:32 UTC, soit dans la période demandée en +02:00. Sa mise à jour du 26 octobre est postérieure à la borne de fin et n’est pas retenue.
ImpactCréation et authentification non autorisées en tant qu’administrateur WordPress.
Versions affectéesVersions antérieures à 1.1.1
Version corrigée1.1.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.8
EPSS0,14% · percentile 3,1%
Publication2026-10-25T06:16:32.263Z
Action recommandée
Mettre à jour Datawiza Proxy Auth Plugin vers la version 1.1.1 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).