Vulnérabilités de plugins WordPress : 6 extensions, dont User Frontend

Sept vulnérabilités affectant six plugins WordPress ont été divulguées entre le 6 et le 7 novembre 2026. La plus grave est une faille d'autorisation incorrecte dans WP Data Access (CVSS 8.1) qui peut permettre à des attaquants de prendre le contrôle du compte administrateur. Les six autres sont des failles de type cross-site scripting (XSS) stocké, classées CVSS 7.2, que des attaquants non authentifiés peuvent exploiter. Aucune n'est signalée comme étant activement exploitée.

WP Data Access (10 000 installations actives)

Les points de terminaison d'écriture de WP Data Access n'appliquent pas les filtres de lignes et les restrictions de colonnes qui s'appliquent aux points de terminaison de lecture. Des attaquants authentifiés disposant d'un accès de niveau Subscriber ou supérieur peuvent écrire dans des lignes et des colonnes arbitraires, y compris le mot de passe administrateur dans wp_users, puis se connecter en tant qu'administrateur. L'exploitation nécessite une Data App publiée qui autorise les transactions d'écriture pour les abonnés ; si cette application autorise l'accès anonyme, des attaquants non authentifiés peuvent également l'exploiter. Toutes les versions jusqu'à la 5.5.89 incluse sont concernées (CVE-2026-118267, CVSS 8.1) ; mettez le plugin à jour vers la dernière version.

User Frontend (20 000 installations actives)

Le plugin User Frontend (Membership, User Registration, User Profile, User Directory & Content Restriction with Frontend Post Submission) contient une faille XSS stockée dans le paramètre de champ taxonomique, que des attaquants non authentifiés peuvent utiliser pour injecter des scripts dans les pages. L'exploitation nécessite un champ Taxonomy en mode saisie de texte et la soumission d'articles par des invités activée sur au moins un formulaire frontal. Toutes les versions jusqu'à la 4.3.13 incluse sont concernées (CVE-2026-109214, CVSS 7.2) ; mettez le plugin à jour vers la dernière version.

WP Visitor Statistics (Real Time Traffic) (20 000 installations actives)

Deux failles XSS stockées permettent à des attaquants non authentifiés d'injecter des scripts via le point de terminaison public de suivi des visiteurs. Les scripts s'exécutent dans le navigateur de l'administrateur lorsque les statistiques sont consultées. CVE-2026-109230 (le paramètre 'browser') affecte les versions jusqu'à la 8.7.1 incluse, et CVE-2026-111370 (les paramètres 'os', 'browser' et 'res') affecte les versions jusqu'à la 8.9.0 incluse, toutes deux classées CVSS 7.2. Mettez le plugin à jour vers la dernière version, qui doit être postérieure à la 8.9.0, ou désactivez et supprimez le plugin si aucune mise à jour de ce type n'est disponible.

GeoDirectory (10 000 installations actives)

GeoDirectory – WP Business Directory Plugin and Classified Listings Directory contient une faille XSS stockée dans le paramètre 'post_content'. Des attaquants non authentifiés peuvent utiliser des shortcodes imbriqués pour contourner le filtrage des shortcodes du plugin et injecter des scripts. Toutes les versions jusqu'à la 2.8.200 incluse sont concernées (CVE-2026-120082, CVSS 7.2) ; mettez le plugin à jour vers la dernière version.

Graphina – Charts and Graphs For Elementor (9 000 installations actives)

Graphina contient une faille XSS stockée dans les paramètres de graphiques, comme la famille de police des nœuds du graphique en arbre. Selon l'avis de sécurité, des attaquants non authentifiés peuvent injecter des scripts que l'assainissement d'Elementor ne supprime pas. Toutes les versions jusqu'à la 3.1.13 incluse sont concernées (CVE-2026-110291, CVSS 7.2) ; mettez le plugin à jour vers la dernière version.

Flying Images (2 000 installations actives)

Flying Images: Optimize and Lazy Load Images for Faster Page Speed contient une faille XSS stockée dans le paramètre 'comment' que des attaquants non authentifiés peuvent exploiter. Avec les réglages par défaut, un premier commentaire doit être approuvé, mais les commentaires suivants provenant du même nom et de la même adresse e-mail contournent la modération, et le script injecté s'exécute pour chaque visiteur, y compris les administrateurs. Toutes les versions jusqu'à la 2.4.15 incluse sont concernées (CVE-2026-119175, CVSS 7.2) ; mettez le plugin à jour vers la dernière version.

Comment vérifier vos sites

Ouvrez Extensions > Extensions installées dans le tableau de bord WordPress de chaque site et recherchez les plugins listés ci-dessus ainsi que leurs numéros de version. Avec WP-CLI, exécutez "wp plugin list" pour afficher les plugins installés, leurs versions et les mises à jour disponibles, puis mettez à jour avec "wp plugin update ". Les identifiants sont wp-data-access, wp-user-frontend, wp-stats-manager, geodirectory, graphina-elementor-charts-and-graphs et nazy-load. Si aucune version corrigée n'est disponible pour un plugin que vous utilisez, désactivez-le et supprimez-le jusqu'à la publication d'une mise à jour.

Sources

• https://nvd.nist.gov/vuln/detail/CVE-2026-109214
• https://nvd.nist.gov/vuln/detail/CVE-2026-109230