FICHE CVE

CVE-2026-1490

Publiée le 2026-02-15 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les sites WordPress utilisant l'extension anti-spam CleanTalk (version 6.71 et versions antérieures) avec une clé API invalide sont vulnérables. Un attaquant distant non authentifié peut usurper un enregistrement DNS pour contourner l'autorisation et installer l'extension de son choix sur votre site. Cela peut mener à une prise de contrôle complète du serveur si l'attaquant installe une extension malveillante ou une extension présentant des failles d'exécution de code à distance connues.

CVSS 3.19.8 CRITIQUE

Type de faiblesse

CWE-350

Publiée2026-02-15

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

The Spam protection, Anti-Spam, FireWall by CleanTalk plugin for WordPress is vulnerable to unauthorized Arbitrary Plugin Installation due to an authorization bypass via reverse DNS (PTR record) spoofing on the 'checkWithoutToken' function in all versions up to, and including, 6.71. This makes it possible for unauthenticated attackers to install and activate arbitrary plugins which can be leveraged to achieve remote code execution if another vulnerable plugin is installed and activated. Note: This is only exploitable on sites with an invalid API key.