Vulnérabilité dans WordPress (CVE-2026-6627, CVSS 8.2)

Résumé

Vulnérabilité dans WordPress (CVE-2026-6627). Les données peuvent être altérées par des attaquants. Exploitable via admin_init.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

The WPFormify – Stripe Payments with Form and Checkout plugin for WordPress is vulnerable to unauthorized modification and deletion of Stripe payment credentials in all versions up to, and including, 1.1.1. This is due to missing capability checks and nonce verification on the wpf_stripe_callback_success() and wpf_stripe_disconnect() functions, both hooked to admin_init. The admin_init hook fires on admin-post.php which is accessible without authentication. This makes it possible for unauthenticated attackers to overwrite the site's Stripe API credentials with attacker-controlled values (redirecting payments to the attacker's Stripe account) or disconnect the Stripe integration entirely by deleting the stored credentials.

Source: NIST National Vulnerability Database NVD GitHub Advisory

Résumé IA

Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.

Une vulnérabilité référencée CVE-2026-6627 a été découverte dans wordpress.
Des attaquants peuvent cibler un point d'entrée spécifique comme admin_init à distance pour détourner le produit.
Les données peuvent être altérées par des attaquants. Score CVSS : 8.2/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « wordpress CVE-2026-6627 » sur le site de l'éditeur.

CVE-2026-6627 (wordpress) — CWE-862 / CVSS v3 8.2
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Surface d'attaque : admin_init
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

WordPress用のプラグインでStripeの支払い資格情報が無許可に修正・削除される脆弱性。

📍 Périmètre concerné

WPFormifyプラグインのバージョン1.1.1以下。

🔥 Gravité

未認証の攻撃者が支払情報を改ざんし、自らのアカウントにリダイレクト可能。

🔧 Comment corriger

最新版へのアップデートで脆弱性を修正。

🛡️ Contournement

情報なし

🔍 Détection

wpformifyプラグインのバージョンを確認することで影響有無を判断可能。

Résumé

Description d'origine

Résumé IA

Références