Veille sécuritéCMS & e-commerce
P3Élevée
Une faille d’authentification du plugin SSL Wireless SMS Notification for WordPress permet à un attaquant non authentifié de prendre le contrôle d’un compte associé à un numéro de téléphone connu. Le défaut concerne toutes les versions jusqu’à 3.8.1 incluse ; aucune version corrigée n’est indiquée dans les éléments fournis.
WordPress
IdentifiantCVE-2026-96228
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-96228
Analyse technique
Le gestionnaire public de finalisation de connexion retrouve un utilisateur à partir du numéro de téléphone et de cap_data, sans vérifier le code SMS ni un état serveur à usage unique.
Impact, versions et correctif
Événement datéLa fiche NVD indique une première publication le 2026-10-29T04:18:45.110Z, dans la période demandée ; l’item est retenu comme vulnérabilité nouvellement publiée, et non sur la seule base de sa modification ultérieure.
ImpactPrise de contrôle possible d’un compte utilisateur, y compris sans authentification préalable.
Versions affectéesToutes les versions jusqu’à 3.8.1 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.1
EPSS0,48% · percentile 41,0%
Publication2026-10-29T04:18:45.110Z
Mise à jour2026-10-29T14:56:26.107Z
Action recommandée
Mettre à jour le plugin dès qu’une version corrigée est disponible ; en attendant, désactiver la connexion par SMS si possible.
Sources
Priorisation DFS : P3 · 1 source(s).