Élévation de privilèges dans WordPress (CVE-2026-15426, CVSS 8.8)

Résumé

Vulnérabilité dans WordPress (CVE-2026-15426). L'exploitation peut entraîner la prise de contrôle totale du système.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

The AcyMailing – An Ultimate Newsletter Plugin and Marketing Automation Solution for WordPress plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 10.11.1. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for authenticated attackers, with subscriber-level access and above, to overwrite the BCC field of the acy_notification_cms notification template, causing subsequent WordPress password-reset emails — including those targeting administrator accounts — to be silently copied to an attacker-controlled address, enabling account takeover via the captured reset link. Successful exploitation requires the site administrator to have enabled the "Send website emails with AcyMailing" option, which routes WordPress core notification emails through AcyMailing's templating system.

Source: NIST National Vulnerability Database NVD GitHub Advisory

Résumé IA

Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.

Une vulnérabilité référencée CVE-2026-15426 a été découverte dans wordpress.
L'exploitation peut entraîner la prise de contrôle totale du système. Score CVSS : 8.8/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « wordpress CVE-2026-15426 » sur le site de l'éditeur.

CVE-2026-15426 (wordpress) — CWE-269 / CVSS v3 8.8
Vecteur d'attaque : distant (réseau) / sans interaction utilisateur
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

AcyMailingプラグインには、認可バイパスの脆弱性がある。

📍 Périmètre concerné

バージョン10.11.1までのAcyMailingプラグイン

🔥 Gravité

攻撃者がパスワードリセットメールを捕捉し、管理者アカウントを乗っ取る可能性がある。

🔧 Comment corriger

プラグインの更新を行い、不正アクセス防止のために認可確認を強化する。

🛡️ Contournement

AcyMailingを経由したメール送信機能を無効にする。

🔍 Détection

AcyMailingの設定を確認し、知らないメールアドレスにメールが転送されていないかを確認する。

Élévation de privilèges dans WordPress (CVE-2026-15426)

Résumé

Description d'origine

Résumé IA

Références