Clean Login : autorisation manquante lors de l’enregistrement de contenus

Veille sécuritéCMS & e-commerce

P4Moyenne

Le plugin Clean Login ne vérifie pas correctement les autorisations lors de l’enregistrement de certains contenus, ce qui permet à un utilisateur authentifié de niveau Contributeur ou supérieur de modifier des options du plugin. Les versions jusqu’à 1.20.1 inclus sont concernées ; aucun correctif ni contournement n’est indiqué dans les éléments fournis.

IdentifiantCVE-2026-116610

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-116610

Analyse technique

La fonction CleanLogin_Shortcode::get_pages_with_shortcodes() est déclenchée sur save_post sans vérification de capacité suffisante. L’attaquant peut écraser des options d’URL et d’identifiants de pages du plugin avec les informations d’un contenu qu’il a créé.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-10-28T07:16:47.450Z, dans la période demandée. La mise à jour du 2026-10-28T16:17:06.660Z est également dans la période, mais les éléments fournis ne décrivent pas de changement substantiel distinct.

ImpactModification non autorisée d’options de configuration de Clean Login.

Versions affectéesJusqu’à 1.20.1 inclus

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS4.3

EPSS0,20% · percentile 9,3%

Publication2026-10-28T07:16:47.450Z

Action recommandée

Mettre à jour vers une version corrigée dès qu’elle est disponible et contrôler les options et pages configurées par le plugin.

Sources

NVD — CVE-2026-116610

Priorisation DFS : P4 · 1 source(s).