FICHE CVE

CVE-2026-66047

Publiée le 2026-08-31 · Dernière modification le 2026-09-02

🇫🇷 EN BREF

Les sites WordPress utilisant l'extension ProfilePress dans une version antérieure à la 4.17.2 sont vulnérables à l'exécution de code à distance. Un attaquant non authentifié peut prendre le contrôle total de votre serveur web en forçant un jeton de sécurité faible pour installer et activer silencieusement l'extension malveillante de son choix. Bien que cela nécessite un accès réseau et un effort de force brute, aucune interaction de l'utilisateur ni aucun identifiant de compte valide ne sont nécessaires pour l'exécution.

CVSS 4.09.2 CRITIQUE

Type de faiblesse

Authentification manquante · CWE-306 CWE-330

Publiée2026-08-31

Dernière modification2026-09-02

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueÉlevée

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

ProfilePress (wp-user-avatar) WordPress plugin before 4.17.2 contains an unauthenticated remote code execution vulnerability that allows unauthenticated attackers to install and activate arbitrary plugins by brute-forcing a weak 32-bit connect token via the ppress_connect_process AJAX handler. Attackers can supply a caller-controlled URL through the file request parameter to trigger silent plugin installation and activation, achieving PHP code execution as the web-server user.