CVE-2026-19256 : tentatives de deviner le code de connexion dans All In One Login

Veille sécuritéCMS & e-commerce

P4Non déterminée

All In One Login avant la version 2.5.0 limite insuffisamment les tentatives de deviner le court code numérique utilisé pour la connexion par courriel sans mot de passe. Les échecs ne sont pas pris en compte par sa protection anti-force brute, ce qui peut permettre à un attaquant non authentifié de prendre le contrôle d’un compte, y compris administrateur.

IdentifiantCVE-2026-19256

GravitéNon déterminée

Exploitationnon connue / non déterminée

Correctif2.5.0

Source : NVD — CVE-2026-19256

Analyse technique

Le mécanisme de connexion par code numérique, activé par défaut selon les données fournies, ne limite pas suffisamment les essais et ne transmet pas les échecs à la protection anti-force brute du plugin.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-11-05 à 06:17:08.240Z, soit 08:17:08.240+02:00, dans la période demandée. L’horodatage de mise à jour NVD, à lui seul, n’est pas retenu comme événement ; l’inclusion repose sur la publication indiquée.

ImpactPrise de contrôle possible de comptes, y compris des comptes administrateurs.

Versions affectéesVersions antérieures à 2.5.0

Version corrigée2.5.0

Exploitation activenon connue / non déterminée

PoC publicinconnu

EPSS0,14% · percentile 3,1%

Publication2026-11-05T08:17:08.240+02:00

Mise à jour2026-11-05T17:06:27.350+02:00

Action recommandée

Mettre à jour All In One Login vers la version 2.5.0 ou ultérieure et, dans l’intervalle, désactiver la connexion par code si possible.

Sources

NVD — CVE-2026-19256

Priorisation DFS : P4 · 1 source(s).