Contournement d’authentification dans Uncanny Toolkit for LearnDash

Veille sécuritéCMS & e-commerce

P3Critique

Uncanny Toolkit for LearnDash présente un contournement d’authentification affectant les versions jusqu’à 3.8.2 incluse. Un attaquant disposant des identifiants d’un compte peut se connecter malgré les contrôles d’approbation ou de suspension ; aucune version corrigée n’est indiquée dans la source fournie.

IdentifiantCVE-2026-119096

GravitéCritique

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-119096

Analyse technique

Le traitement différent du paramètre email lors de la vérification du compte et de l’authentification peut faire contourner les contrôles d’état du compte. Le nonce nécessaire est accessible via un endpoint public selon la description fournie.

Impact, versions et correctif

Événement datéFiche NVD publiée le 31 octobre 2026 à 08:16:49Z, soit dans la période demandée ; la mise à jour du 2 novembre est hors période et n’est pas retenue.

ImpactConnexion possible à des comptes non vérifiés ou suspendus si leurs identifiants sont connus.

Versions affectéesToutes les versions jusqu’à 3.8.2 incluse

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS9.8

EPSS0,46% · percentile 40,1%

Publication2026-10-31T10:16:49.043+02:00

Action recommandée

Vérifier les comptes concernés et appliquer une version corrigée dès qu’elle est disponible ; la source fournie ne précise pas de correctif.

Sources

NVD — CVE-2026-119096

Priorisation DFS : P3 · 1 source(s).