Veille sécuritéCMS & e-commerce
P3Critique
Le plugin WHIZZ jusqu’à la version 1.1.8 ne vérifie pas correctement la clé de réinitialisation du mot de passe et s’appuie sur un nonce exposé aux visiteurs non authentifiés. Un attaquant peut ainsi définir le mot de passe d’un utilisateur, y compris d’un administrateur, et prendre le contrôle de son compte.
WordPress
IdentifiantCVE-2026-115230
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-115230
Analyse technique
La procédure de changement de mot de passe ne valide pas la clé de réinitialisation et utilise un nonce accessible sans authentification.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-06, dans la période demandée. La date de publication et les détails fournis décrivent une vulnérabilité, et non une simple modification administrative.
ImpactPrise de contrôle possible de comptes utilisateurs, y compris administrateurs, par modification non autorisée de leur mot de passe.
Versions affectéesWHIZZ jusqu’à la version 1.1.8
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.8
EPSS0,18% · percentile 7,7%
Publication2026-11-06T06:16:40.270Z
Mise à jour2026-11-06T20:09:13.780Z
Action recommandée
Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible; à défaut, désactiver le plugin.
Sources
Priorisation DFS : P3 · 1 source(s).