FICHE CVE

CVE-2026-15980

Publiée le 2026-08-30 · Dernière modification le 2026-08-31

🇫🇷 EN BREF

Les sites WordPress utilisant le plugin MyHome Core (v4.4.5 et versions antérieures) en mode legacy/WPBakery avec l'inscription frontend activée sont concernés. Un attaquant distant non authentifié peut contourner les contrôles de sécurité pour générer un cookie de connexion valide pour tout compte non confirmé, pouvant ainsi obtenir un accès administratif complet au site. Cette faille est facile à exploiter via le réseau et ne nécessite aucune interaction de l'utilisateur ni d'identifiants préalables.

CVSS 3.19.8 CRITIQUE

Type de faiblesse

CWE-289

Publiée2026-08-30

Dernière modification2026-08-31

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

The MyHome Core plugin for WordPress is vulnerable to Authentication Bypass in all versions up to, and including, 4.4.5. This is due to missing authorization in the send_link() AJAX handler and improper token validation in the activate() function. This makes it possible for unauthenticated attackers to generate an activation token for an unconfirmed user account and obtain a valid authentication cookie for that account, including administrators. Successful exploitation requires the MyHome theme to be configured in legacy/WPBakery mode with frontend registration and confirmation email enabled, and the target account must not already have the myhome_agent_confirmed user meta set.