Résumé
généré automatiquement à partir des données NVDLe plugin WordPress Theme My Login, dans les versions jusqu'à la 7.2.1 incluse, est affecté par une élévation de privilèges via une prise de contrôle de compte (CWE-269). Le plugin ne valide pas correctement l'identité de l'utilisateur avant de mettre à jour son mot de passe, ce qui permet à un attaquant non authentifié de modifier le mot de passe de n'importe quel utilisateur sur des installations multisites dans certaines configurations. La sévérité est critique, avec un score CVSS v3.1 de 9.8.
Description NVD (anglais)
The Theme My Login plugin for WordPress is vulnerable to privilege escalation via account takeover in versions up to, and including, 7.2.1. This is due to the plugin not properly validating a user's identity prior to updating their password. This makes it possible for unauthenticated attackers to change arbitrary user's passwords on multi-site setups in certain configurations.
EPSS · FIRST.org
0,29 %de probabilité d'exploitation dans les 30 prochains jours
Supérieure à 20 % des CVE notées
L'EPSS (Exploit Prediction Scoring System) estime, à partir de l'activité d'exploitation observée, la probabilité qu'une CVE soit exploitée dans les 30 prochains jours. Il complète le CVSS, qui mesure la gravité et non la probabilité d'attaque. Score du 16 oct. 2026, recalculé chaque jour par FIRST.org.
Articles d'analyse sur cveo.tech
Nous avons publié une analyse détaillée de cette CVE — exploitation, IOC et mitigation.
Score CVSS v3.1
Informations
- Publié
- 16 oct. 2026
- Mis à jour
- 16 oct. 2026
- Statut
- Deferred
- Source
- security@wordfence.com
Faiblesses (CWE)
CVEs similaires
Autres vulnérabilités de type CWE-269
Surveillez vos produits
Recevez une alerte automatique à chaque nouvelle CVE affectant vos équipements.