UsersWP : accès non autorisé aux comptes factices

Veille sécuritéCMS & e-commerce

P4Moyenne

UsersWP jusqu’à la version 1.2.78 expose un secret permettant, sous certaines conditions, de retrouver le mot de passe commun de comptes factices et de se connecter à leur place. Le risque nécessite que des comptes factices aient été créés ; aucune version corrigée n’est indiquée dans la source fournie.

IdentifiantCVE-2026-119980

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-119980

Analyse technique

Le secret est récupérable sans authentification dans le champ caché uwp_register_hash du formulaire d’inscription, y compris lorsque les inscriptions sont désactivées. L’exploitation suppose que l’administrateur ait créé des comptes factices via l’outil du plugin.

Impact, versions et correctif

Événement datéFiche CVE publiée pendant la période le 2026-10-31 ; la mise à jour NVD postérieure au 2026-11-01 est exclue de l’évaluation.

ImpactConnexion non autorisée à des comptes factices, avec élévation de privilèges possible si l’un d’eux possède un rôle élevé.

Versions affectéesToutes les versions jusqu’à 1.2.78 incluse.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS6.5

EPSS0,26% · percentile 18,2%

Publication2026-10-31T07:16:36.920Z

Action recommandée

Mettre à jour vers une version corrigée lorsqu’elle sera disponible ; en attendant, éviter de créer des comptes factices et examiner/supprimer ceux qui existent.

Sources

NVD — CVE-2026-119980

Priorisation DFS : P4 · 1 source(s).