Seraphinite Accelerator expose des données de comptes WordPress (CVE-2026-90960)

Veille sécuritéCMS & e-commerce

P4Moyenne

CVE-2026-90960 est une exposition d’informations sensibles dans Seraphinite Accelerator, exploitable sans authentification lorsque la fonction Object Cache est activée et qu’une entrée utilisateur a d’abord été mise en cache. Les fichiers de cache prévisibles peuvent révéler des données de compte WordPress, notamment l’identifiant, l’adresse courriel, le hachage du mot de passe et la clé d’activation.

IdentifiantCVE-2026-90960

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-90960

Analyse technique

L’accès aux enregistrements passe par des fichiers gzip sérialisés de cache à un chemin prévisible. L’exploitation dépend de l’activation de la fonction Object Cache et de la mise en cache préalable de l’enregistrement visé.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-10-31 à 09:16:37 +02:00, dans la période demandée; l’entrée est retenue comme vulnérabilité nouvellement publiée.

ImpactUn attaquant non authentifié peut obtenir des informations sensibles des comptes WordPress, dont des hachages de mots de passe et des clés d’activation.

Versions affectéesToutes les versions jusqu’à 2.29.24 incluse.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS5.3

EPSS0,32% · percentile 25,3%

Publication2026-10-31T09:16:37.860+02:00

Mise à jour2026-10-31T09:16:37.993+02:00

Action recommandée

Désactiver la fonction Object Cache si possible et appliquer un correctif du fournisseur lorsqu’il sera disponible; aucune version corrigée n’est indiquée dans les informations fournies.

Sources

NVD — CVE-2026-90960

Priorisation DFS : P4 · 1 source(s).