CVE-2026-85530
Publiée le 2026-09-16 · Dernière modification le 2026-09-17
Les sites WordPress utilisant l'extension GiveWP avant la version 4.16.8.1 sont vulnérables à une prise de contrôle de compte en raison d'une normalisation incohérente des adresses e-mail. Un attaquant distant non authentifié peut exploiter cette faille pour usurper l'identité de n'importe quel donateur et réinitialiser le mot de passe WordPress de tout compte utilisateur lié, y compris ceux des administrateurs. Bien que l'attaque soit complexe à exécuter, elle ne nécessite ni authentification préalable ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The GiveWP WordPress plugin before 4.16.8.1 does not consistently normalise a donor's e-mail address between the value it stores and the value it later uses to look that donor up, allowing unauthenticated users to be resolved as an arbitrary donor and to set the WordPress password of any user account linked to one, including an administrator's.