Veille sécuritéCMS & e-commerce
P3Élevée
CVE-2026-121848 concerne Magic Link : avant la version 2.2.6, le plugin ne vérifiait pas que l’utilisateur demandant un lien de connexion était autorisé à en générer un pour le compte choisi. Un utilisateur authentifié pouvait obtenir un lien fonctionnel pour un compte administrateur et s’y connecter ; mettre à jour vers la version 2.2.6 ou ultérieure.
WordPress
IdentifiantCVE-2026-121848
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif2.2.6
Source : NVD — CVE-2026-121848
Analyse technique
La génération du lien n’était pas autorisée en fonction du compte demandé.
Impact, versions et correctif
Événement datéPublication de la fiche NVD le 2026-11-07, dans la période demandée.
ImpactPrise de contrôle possible d’un compte administrateur.
Versions affectéesMagic Link versions antérieures à 2.2.6
Version corrigée2.2.6
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.8
EPSS0,14% · percentile 3,6%
Publication2026-11-07T06:16:58.620Z
Mise à jour2026-11-07T19:17:24.780Z
Action recommandée
Mettre à jour Magic Link vers la version 2.2.6 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).