WordPress : 4 extensions critiques début novembre 2026 (ACF Extended PRO, s2Member, BuddyPress XProfile Image Field, Ultra Addons for CF7)

Entre le 2 et le 3 novembre 2026, NVD a publié quatre CVE critiques dans des extensions WordPress, toutes signalées par Wordfence. Deux mènent à l'exécution de code, deux à la suppression de fichiers arbitraires — avec, dans les deux cas, wp-config.php comme cible évidente. Point commun utile pour prioriser : chacune ne s'exploite que sous une condition de configuration précise, qu'il faut vérifier site par site.

Les scores sont ceux de Wordfence (CNA) : vecteur CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H pour les trois 9.8, CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H pour le 9.1. Les quatre sont au statut NVD Deferred : NVD ne prévoit pas de les analyser, il n'y aura donc ni score NVD ni configuration CPE. Aucune n'est au CISA KEV à la date de rédaction. Les bornes viennent des descriptions et ne désignent pas la version corrigée : vérifie le journal des modifications de chaque extension.

ACF Extended PRO — CVE-2026-120534

Version premium d'ACF Extended, qui ajoute notamment des formulaires front-end à Advanced Custom Fields. Dans render_field, des paramètres de configuration de formulaire sont fusionnés dans les réglages du champ sans validation, puis passés à call_user_func_array. Un visiteur non authentifié peut alors appeler n'importe quelle fonction WordPress avec des arguments qu'il contrôle.

Conditions d'exposition (l'une ou l'autre, selon la description) :

• l'administrateur a activé le réglage shortcode_preview, désactivé par défaut, sur le formulaire visé ;
• le serveur n'a pas les fonctions OpenSSL, ce qui fait retomber acf_decrypt d'ACF Pro sur un simple décodage base64 non vérifié.

NVD rattache la CVE à CWE-434 (upload de type dangereux), ce qui colle mal avec le mécanisme décrit : c'est bien d'un appel de fonction contrôlé qu'il s'agit.

Action : mettre à jour au-delà de 0.9.2.6 (le journal des modifications d'ACF Extended est cité en référence), vérifier que shortcode_preview est désactivé et que l'extension PHP OpenSSL est chargée (php -m | grep -i openssl).

s2Member — CVE-2026-86596

Extension d'abonnements et de contenus réservés, avec intégration PayPal. La fonction strip_php_tags_deep() ne retire que les séquences littérales <?. Or, après insertion de la valeur fournie par l'attaquant (paramètre item_name) dans un modèle d'email, un nettoyage des marqueurs reconstitue une balise d'ouverture <?php valide : le code est exécuté sur le serveur.

Limite : la description exige un compte de niveau « custom » ou supérieur, alors que le vecteur de Wordfence indique PR:N. Les références pointent vers les gestionnaires de notifications PayPal de l'extension (paypal-notify-in-*).

Action : mettre à jour au-delà de 260927 (un changeset WordPress.org est cité en référence). En attendant, auditer les comptes à niveau personnalisé.

Ultra Addons for Contact Form 7 — CVE-2026-102435

Collection de modules pour Contact Form 7. La fonction _getObjAttr ne valide pas suffisamment les chemins de fichiers. Une chaîne de gadgets POP s'appuyant sur WPCF7_Submission et son __destruct() permet à un visiteur anonyme de supprimer des fichiers arbitraires — et de supprimer wp-config.php à une prise de contrôle, il n'y a qu'un pas : l'assistant d'installation réapparaît.

Condition d'exposition : le module PDF Generator doit être actif et un formulaire Contact Form 7 configuré pour générer un PDF.

Action : mettre à jour au-delà de 3.5.54 ; à défaut, désactiver le module PDF Generator.

BuddyPress XProfile Image Field — CVE-2026-120518

Ajoute un champ image aux profils BuddyPress. À l'activation d'une inscription en attente, bpxp_image_field_update_on_user_activation() appelle unlink() sur un chemin construit à partir des métadonnées d'inscription fournies par le visiteur, sans realpath(), sans contrôle d'appartenance au répertoire des images de profil, sans liste d'extensions. Il suffit d'envoyer un fichier vide avec le paramètre field_N_hidden à l'inscription : le chemin est résolu depuis la racine web au moment de l'activation.

Conditions d'exposition : inscription ouverte et un champ de profil de type image sur le formulaire d'inscription.

Action : mettre à jour au-delà de 3.1.0 dès qu'un correctif est publié ; sinon fermer l'inscription publique ou retirer le champ image du formulaire.

Détection

• wp-config.php : présent et intact ; un site qui affiche l'écran d'installation est un incident.
• Inscriptions BuddyPress récentes avec un champ image vide ou des valeurs de chemin dans les métadonnées (../, chemins absolus).
• Emails générés par s2Member contenant des fragments PHP, et journaux d'accès aux scripts de notification PayPal depuis des adresses inattendues.
• Formulaires ACF Extended ayant shortcode_preview activé, et serveurs PHP sans OpenSSL.
• Fichiers PHP modifiés récemment dans wp-content/ après le 2 novembre.

Pour la vague précédente, voir notre article sur sept extensions WordPress critiques fin octobre 2026.

Mitigation générale

1. Identifier les sites qui utilisent ces quatre extensions (wp plugin list sur chaque instance).
2. Vérifier la condition d'exposition de chacune : c'est elle qui fixe l'urgence.
3. Mettre à jour au-delà des bornes NVD dès que l'éditeur publie un correctif ; sinon désactiver l'extension ou le module concerné.
4. Rendre wp-config.php non modifiable par l'utilisateur du serveur web et garder une sauvegarde récente du site.
5. En cas de doute : réinitialiser les mots de passe administrateur, renouveler les clés et sels de wp-config.php, auditer les fichiers récemment modifiés.

Pourquoi surveiller en continu tes extensions WordPress

Ces quatre failles dépendent d'un réglage, d'un module ou d'une option d'inscription : le même plugin peut être critique sur un site et inoffensif sur le voisin. Encore faut-il savoir quels sites l'utilisent, et en quelle version.

Avec cveo.tech, inventorie tes extensions WordPress avec leur version et reçois une alerte dès qu'une CVE critique les touche.