Veille sécuritéCMS & e-commerce
P3Élevée
MemberPress présente une faille CSRF dans l’enregistrement des champs de profil : l’absence du nonce peut contourner la vérification. Jusqu’à la version 1.14.1 incluse, une requête forgée peut changer l’adresse électronique d’un utilisateur connecté, avec un risque de prise de contrôle de compte via la réinitialisation de mot de passe.
WordPress
IdentifiantCVE-2026-92797
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-92797
Analyse technique
La vérification du nonce est conditionnée à sa présence ; un attaquant doit inciter un utilisateur authentifié à déclencher la requête forgée.
Impact, versions et correctif
Événement datéFiche NVD publiée le 2026-10-28, dans la période retenue ; sa mise à jour du 2026-10-29 est postérieure à la période.
ImpactChangement d’adresse électronique et risque de prise de contrôle du compte ciblé.
Versions affectéesVersions jusqu’à 1.14.1 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.8
EPSS0,15% · percentile 4,0%
Publication2026-10-28T08:16:30.250Z
Mise à jour2026-10-29T02:16:55.440Z
Action recommandée
Appliquer une version corrigée dès sa disponibilité et sensibiliser les utilisateurs connectés aux requêtes inattendues.
Sources
Priorisation DFS : P3 · 1 source(s).