Vulnérabilités de plugins WordPress : 12 extensions dont WS Form LITE

Des vulnérabilités affectant 12 plugins WordPress ont été divulguées le 7 novembre 2026. La plus grave est une élévation de privilèges dans Registration Form for WooCommerce (CVSS 9.8), qui permet à des attaquants non authentifiés de créer un compte administrateur. Plusieurs autres failles peuvent également être exploitées sans compte, dans les conditions décrites ci-dessous. À ce jour, aucune n'est signalée comme étant activement exploitée.

Registration Form for WooCommerce (1 000 installations actives)

Le parcours d'inscription lors du paiement ne vérifie pas le rôle utilisateur soumis par rapport à une liste d'autorisation. Des attaquants non authentifiés peuvent donc créer un compte avec le rôle Administrator pendant le paiement, ce qui équivaut à une prise de contrôle complète du site. Toutes les versions jusqu'à la 1.1.4 incluse sont concernées (CVE-2026-119075, CVSS 9.8). Mettez le plugin à jour vers la dernière version ; si aucune mise à jour n'est disponible, désactivez-le et supprimez-le.

QA Assistants – Driven by data (2 000 installations actives)

Ce plugin est vulnérable à une injection d'objet PHP via le paramètre 'dlevent_ver' ; des attaquants non authentifiés peuvent l'utiliser avec un composant Guzzle embarqué pour écrire des fichiers arbitraires et potentiellement exécuter du code. Le code vulnérable est déclenché via wp-cron.php, accessible sans authentification et exécuté toutes les deux minutes. Toutes les versions jusqu'à la 5.3.0 incluse sont concernées (CVE-2026-87112, CVSS 8.8). Mettez le plugin à jour vers la dernière version, ou désactivez-le et supprimez-le si aucune mise à jour n'est disponible.

Advanced Form Integration – Connect Forms to 300+ Apps (9 000 installations actives)

Des attaquants non authentifiés peuvent injecter des objets PHP par désérialisation d'entrées non fiables. Le plugin ne contient pas de chaîne POP connue : l'impact dépend donc d'un autre plugin ou thème en fournissant une, et l'exploitation nécessite une intégration NexForms active configurée par un administrateur. Toutes les versions jusqu'à la 2.10.2 incluse sont concernées (CVE-2026-104738, CVSS 8.1). Mettez le plugin à jour vers la dernière version, ou désactivez-le et supprimez-le si aucune mise à jour n'est disponible.

Motors – Car Dealership & Classified Listings Plugin (9 000 installations actives)

Tout utilisateur connecté disposant d'un accès de niveau abonné ou supérieur peut supprimer des fichiers arbitraires via la fonction stm_listings_ajax_save_user_data ; selon la description, la suppression est limitée au répertoire wp-content/uploads. Toutes les versions jusqu'à la 1.4.125 incluse sont concernées (CVE-2026-104746, CVSS 8.1). Mettez le plugin à jour vers la dernière version, ou désactivez-le et supprimez-le si aucune mise à jour n'est disponible.

WPJAM Basic (4 000 installations actives)

Une faille dans la fonction d'inscription permet à des attaquants non authentifiés de créer un nouvel utilisateur avec le rôle de leur choix, y compris Administrator. L'exploitation nécessite un fournisseur de connexion sociale enregistré et des inscriptions ouvertes. Les versions jusqu'à la 7.1 incluse sont concernées (CVE-2026-103900, CVSS 8.1). Mettez le plugin à jour vers la dernière version, ou désactivez-le et supprimez-le si aucune mise à jour n'est disponible.

Affiliate Program Suite – SliceWP Affiliates (10 000 installations actives)

Des attaquants non authentifiés peuvent effectuer une injection SQL via le paramètre 'email' et extraire des informations sensibles de la base de données ; le code vulnérable s'exécute lors de l'inscription dans le compte WooCommerce My Account. Toutes les versions jusqu'à la 1.2.14 incluse sont concernées (CVE-2026-120043, CVSS 7.5). Mettez le plugin à jour vers la dernière version, ou désactivez-le et supprimez-le si aucune mise à jour n'est disponible.

AutomatorWP (6 000 installations actives)

L'absence de vérification des rôles dans les actions de création d'utilisateurs peut permettre à des attaquants non authentifiés d'obtenir un nouveau compte administrateur. Cela nécessite une automatisation anonyme dont l'option Role est liée à une balise de déclenchement dynamique, comme {comment_author}, et qui se déclenche lorsqu'un administrateur approuve un commentaire. Toutes les versions jusqu'à la 6.0.4 incluse sont concernées (CVE-2026-104768, CVSS 7.5). Mettez le plugin à jour vers la dernière version et vérifiez les automatisations qui créent des utilisateurs ou modifient des rôles.

Quttera ThreatSign – Web Malware Scanner (10 000 installations actives)

Des attaquants non authentifiés peuvent stocker des scripts malveillants via l'en-tête HTTP User-Agent, qui s'exécutent lorsqu'un administrateur ouvre la page concernée. Toutes les versions jusqu'à la 4.1.0.48 incluse sont concernées (CVE-2026-115548, CVSS 7.2). Mettez le plugin à jour vers la dernière version, ou désactivez-le et supprimez-le si aucune mise à jour n'est disponible.

Link Library (10 000 installations actives)

Des attaquants non authentifiés peuvent stocker des scripts malveillants via le paramètre 'link_description', uniquement si le réglage non par défaut 'Convert [] to <> in Link Description and Notes' est activé. Toutes les versions jusqu'à la 7.10.0 incluse sont concernées (CVE-2026-116537, CVSS 7.2). Mettez le plugin à jour vers la dernière version et vérifiez si ce réglage est nécessaire sur vos sites.

WS Form LITE – Drag & Drop Contact Form Builder (10 000 installations actives)

Des attaquants non authentifiés peuvent stocker des scripts malveillants via les paramètres des champs de formulaire, car une fonction d'échappement côté client laisse passer sans modification les valeurs non textuelles. Toutes les versions jusqu'à la 1.12.18 incluse sont concernées (CVE-2026-122231, CVSS 7.2). Mettez le plugin à jour vers la dernière version, ou désactivez-le et supprimez-le si aucune mise à jour n'est disponible.

VikBooking Hotel Booking Engine & PMS (8 000 installations actives)

Des attaquants non authentifiés peuvent stocker des scripts malveillants via le paramètre des documents des clients du formulaire de pré-enregistrement ; le jeton de réservation requis peut être obtenu en effectuant une réservation publique ordinaire. Toutes les versions jusqu'à la 1.8.17 incluse sont concernées (CVE-2026-93429, CVSS 7.2). Mettez le plugin à jour vers la dernière version, ou désactivez-le et supprimez-le si aucune mise à jour n'est disponible.

Pie Register – User Registration, Profiles & Content Restriction (1 000 installations actives)

Des attaquants non authentifiés peuvent stocker des scripts malveillants via le paramètre 'first_name' lorsque l'inscription publique est activée et que le formulaire comprend un champ Photo de profil. Toutes les versions jusqu'à la 3.8.4.16 incluse sont concernées (CVE-2026-119158, CVSS 7.2). Mettez le plugin à jour vers la dernière version, ou désactivez-le et supprimez-le si aucune mise à jour n'est disponible.

Comment vérifier vos sites

Ouvrez Extensions > Extensions installées dans le tableau de bord WordPress de chaque site et recherchez les plugins listés ci-dessus, ou exécutez wp plugin list avec WP-CLI pour afficher les plugins installés et leurs versions. Mettez à jour les plugins concernés depuis le tableau de bord ou avec wp plugin update <plugin-slug>. Pour les failles d'élévation de privilèges, examinez également la liste des utilisateurs à la recherche de comptes administrateur que vous ne reconnaissez pas.

Sources

• https://nvd.nist.gov/vuln/detail/CVE-2026-103900
• https://nvd.nist.gov/vuln/detail/CVE-2026-104738