Une séquence non atomique d’écriture des options dans Import and export users and customers peut modifier des paramètres de tâche planifiée avant que le contrôle d’autorisation ne bloque la requête. Dans certaines conditions, un utilisateur authentifié disposant de `create_users` mais pas de `promote_users` ni de `edit_users` peut obtenir les privilèges d’administrateur ; les versions concernées vont jusqu’à 2.5.11 inclus.
Source : NVD — CVE-2026-120554
Analyse technique
L’exploitation dépend notamment d’une sauvegarde préalable de la tâche cron par un administrateur, de l’absence de sauvegarde réussie intervenant ensuite et du traitement ultérieur du fichier CSV détourné par la tâche planifiée.
Impact, versions et correctif
Action recommandée
Mettre à jour le plugin dès qu’un correctif est disponible ; examiner les tâches cron et les configurations d’import utilisateurs.
Sources
Priorisation DFS : P3 · 1 source(s).