Vulnérabilité dans WordPress (CVE-2026-4896)
Résumé
Vulnérabilité dans WordPress (CVE-2026-4896). Les données peuvent être altérées par des attaquants. Exploitable via wcfm_modify_order_status.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
The WCFM – Frontend Manager for WooCommerce along with Bookings Subscription Listings Compatible plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 6.7.25 via multiple AJAX actions including wcfm_modify_order_status, delete_wcfm_article, delete_wcfm_product, and the article management controller due to missing validation on user-supplied object IDs. This makes it possible for authenticated attackers, with Vendor-level access and above, to modify the status of any order, delete or modify any post/product/page, regardless of ownership.
Source: NIST National Vulnerability Database NVD
Résumé IA
Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.
Une vulnérabilité référencée CVE-2026-4896 a été découverte dans wordpress.
Des attaquants peuvent cibler un point d'entrée spécifique comme wcfm_modify_order_status à distance pour détourner le produit.
Les données peuvent être altérées par des attaquants. Score CVSS : 8.1/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « wordpress CVE-2026-4896 » sur le site de l'éditeur.
CVE-2026-4896 (wordpress) — CWE-639 / CVSS v3 8.1
Vecteur d'attaque : distant (réseau) / sans interaction utilisateur
Surface d'attaque : wcfm_modify_order_status / delete_wcfm_article / delete_wcfm_product
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
WCFMとBookingsプラグインにIDORの脆弱性が存在します。
WooCommerce向けWCFMプラグインのバージョン6.7.25まで
攻撃者は他のユーザーのオブジェクトに不正アクセス可能で、重大なデータ変更が行えます。
ユーザー提供のオブジェクトIDに対する厳密な検証を導入してください。
セキュリティプラグインを利用して、疑わしいアクセスの監視と制限を設定することで一時回避できます。
ログをチェックし、通常以上のオブジェクト変更があったかを確認します。