Vulnérabilités d'extensions WordPress : 13 extensions, dont TranslatePress

Des vulnérabilités ont été divulguées dans 13 extensions WordPress, pour la plupart le 7 novembre 2026. La plus grave est un contournement d'authentification dans l'extension de réservation de rendez-vous LatePoint (CVSS 9.1), qui permet à des attaquants non authentifiés de prendre le contrôle de comptes clients. L'extension concernée la plus utilisée est TranslatePress, avec 400 000 installations actives. Aucune de ces vulnérabilités n'est signalée comme exploitée activement à ce jour.

LatePoint (100 000 installations actives)

The Appointment Booking Plugin – LatePoint est vulnérable à un contournement d'authentification permettant à des attaquants non authentifiés de remplacer le mot de passe d'un client et de prendre le contrôle du compte, y compris les réservations, les commandes et les données personnelles. Lorsque l'option permettant d'utiliser les utilisateurs WordPress comme clients est activée, le compte WordPress associé peut également être compromis. Toutes les versions jusqu'à la 5.7.6 incluse sont concernées (CVE-2026-118066, CVSS 9.1). Mettez l'extension à jour vers la dernière version ; si aucune version corrigée n'est disponible pour votre site, désactivez-la puis supprimez-la.

Amelia (90 000 installations actives)

Amelia contient deux failles dans les versions jusqu'à la 9.9.1 incluse. Une injection SQL basée sur le temps via le paramètre tag[] permet à des attaquants non authentifiés d'extraire des informations sensibles de la base de données (CVE-2026-116751, CVSS 7.5). Une vérification d'autorisation manquante permet aux utilisateurs connectés disposant du rôle de client Amelia d'exporter la liste complète des participants, avec leurs données personnelles, pour n'importe quel événement (CVE-2026-107616, CVSS 7.5). Mettez l'extension à jour vers la dernière version ou, si aucune mise à jour n'est disponible, désactivez-la puis supprimez-la.

FunnelKit Payment Gateway for Stripe WooCommerce (20 000 installations actives)

Une référence directe non sécurisée à un objet permet à des attaquants non authentifiés de lire les données de facturation de n'importe quelle commande de la boutique, y compris le nom, l'adresse e-mail, le numéro de téléphone et l'adresse postale, en énumérant les identifiants de commande. Toutes les versions jusqu'à la 1.15.0.2 incluse sont concernées (CVE-2026-109991, CVSS 7.5). Mettez l'extension à jour vers la dernière version ou, si aucune mise à jour n'est disponible, désactivez-la puis supprimez-la.

wpForo Forum (20 000 installations actives)

wpForo présente trois vulnérabilités. Une injection SQL basée sur le temps via le paramètre href[locale] est exploitable par des visiteurs non authentifiés dans les versions jusqu'à la 3.2.2 incluse (CVE-2026-119155, CVSS 7.5). Une élévation de privilèges permet aux abonnés connectés ayant au moins trois messages approuvés sur le forum de devenir administrateurs wpForo dans ces mêmes versions (CVE-2026-119164, CVSS 7.5). Une autre injection SQL via le paramètre data affecte les versions jusqu'à la 3.2.1 incluse lorsque certains champs de formulaire consultables sont configurés (CVE-2026-95870, CVSS 7.5). Mettez l'extension à jour vers la dernière version.

TranslatePress (400 000 installations actives)

Deux failles de type cross-site scripting stocké via les commentaires permettent à des attaquants non authentifiés d'injecter des scripts dans les pages, dans certains cas après l'approbation d'un commentaire précédent portant le même nom et la même adresse e-mail, et lorsqu'une langue secondaire est configurée. Toutes les versions jusqu'à la 3.3.8 incluse sont concernées (CVE-2026-119167 et CVE-2026-120537, tous deux CVSS 7.2). Mettez l'extension à jour vers la dernière version.

Unlimited Elements for Elementor (300 000 installations actives)

Une faille de cross-site scripting stocké permet à des attaquants non authentifiés d'injecter des scripts via le contenu d'un flux RSS qu'ils contrôlent, si un administrateur a placé le widget Flux RSS pointant vers ce flux. Toutes les versions jusqu'à la 2.0.26 incluse sont concernées (CVE-2026-116558, CVSS 7.2). Mettez l'extension à jour vers la dernière version.

Optimole (200 000 installations actives)

Optimole présente trois failles de cross-site scripting stocké exploitables par des attaquants non authentifiés : deux via les commentaires et une via un point de terminaison REST dont la signature requise est exposée sur les pages publiques. CVE-2026-119070 affecte les versions jusqu'à la 4.2.17 incluse, tandis que CVE-2026-120677 et CVE-2026-120739 affectent les versions jusqu'à la 4.2.18 incluse (tous CVSS 7.2). Mettez l'extension à jour vers la dernière version.

iubenda (200 000 installations actives)

L'extension iubenda All-in-one Compliance est vulnérable à un cross-site scripting stocké via les commentaires, exploitable par des attaquants non authentifiés après l'approbation d'un premier commentaire de leur part. Les versions jusqu'à la 3.13.6 incluse sont concernées (CVE-2026-120540, CVSS 7.2). Mettez l'extension à jour vers la dernière version.

Download Manager (90 000 installations actives)

Une faille de cross-site scripting stocké dans les champs d'inscription permet à des attaquants non authentifiés d'injecter des scripts, à condition que l'inscription publique soit activée, que le formulaire d'inscription de l'extension soit publié et que certains packages utilisent le modèle de lien Spotlight. Toutes les versions jusqu'à la 7.5.9 incluse sont concernées (CVE-2026-119156, CVSS 7.2). Mettez l'extension à jour vers la dernière version.

CTX Feed – Product Feed Manager for WooCommerce (90 000 installations actives)

Une faille d'injection de code PHP permet aux utilisateurs connectés disposant de l'accès Shop Manager ou d'un niveau supérieur d'exécuter du code PHP arbitraire sur le serveur, ce qui peut conduire à la prise de contrôle complète du site ; l'option concernée est activée par défaut. Toutes les versions jusqu'à la 8.0.26 incluse sont concernées (CVE-2026-87964, CVSS 7.2). Mettez l'extension à jour vers la dernière version ou, si aucune mise à jour n'est disponible, désactivez-la puis supprimez-la, et vérifiez quels comptes disposent du rôle Shop Manager.

JetFormBuilder (80 000 installations actives)

Deux failles de cross-site scripting stocké permettent à des attaquants non authentifiés d'injecter des scripts via les envois de formulaires dont la configuration est particulière. CVE-2026-111317 affecte les versions jusqu'à la 3.6.7 incluse, et CVE-2026-119183 affecte les versions jusqu'à la 3.6.8 incluse (tous deux CVSS 7.2). Mettez l'extension à jour vers la dernière version.

Strong Testimonials (80 000 installations actives)

Une faille de cross-site scripting stocké via le paramètre star_rating permet à des attaquants non authentifiés d'injecter des scripts qui s'exécutent lorsqu'un administrateur prévisualise un témoignage en attente. Toutes les versions jusqu'à la 3.3.16 incluse sont concernées (CVE-2026-115811, CVSS 7.2). Mettez l'extension à jour vers la dernière version.

Form Maker by 10Web (30 000 installations actives)

Une faille de cross-site scripting stocké dans les champs cachés du formulaire permet à des attaquants non authentifiés d'injecter des scripts qui s'exécutent lorsqu'un administrateur ouvre le lien vers la carte d'un envoi. Toutes les versions jusqu'à la 1.15.50 incluse sont concernées (CVE-2026-120512, CVSS 7.2). Mettez l'extension à jour vers la dernière version.

Comment vérifier vos sites

Ouvrez la page Extensions du tableau de bord WordPress de chaque site et recherchez les extensions listées ci-dessus ainsi que leurs versions installées. Avec WP-CLI, exécutez "wp plugin list" pour afficher les extensions installées, leurs versions et les mises à jour disponibles, puis "wp plugin update " pour mettre à jour une seule extension. Lorsqu'aucune version corrigée n'est proposée, désactivez puis supprimez l'extension jusqu'à la publication d'une mise à jour par le développeur.

Sources

• https://nvd.nist.gov/vuln/detail/CVE-2026-107616
• https://nvd.nist.gov/vuln/detail/CVE-2026-109991