CVE-2026-86596
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
L'extension s2Member pour WordPress, utilisée pour gérer les adhésions et restreindre l'accès au contenu, est affectée dans toutes les versions allant jusqu'à la version 260927 incluse. La faille se situe dans la fonction `strip_php_tags_deep()`, qui ne nettoie pas correctement le paramètre `item_name`. En utilisant des caractères spécifiques, un attaquant peut contourner le filtre de sécurité et forcer l'extension à reconstituer une balise d'ouverture PHP valide au sein d'un modèle d'e-mail.
Un attaquant peut exploiter cette faille pour exécuter du code arbitraire sur le serveur, lui donnant ainsi le contrôle total des données, de la configuration et des fichiers du site web. Cela impacte la confidentialité, l'intégrité et la disponibilité de l'ensemble du système. L'attaque est facile à réaliser car elle peut être lancée via le réseau sans nécessiter d'authentification ni aucune interaction de la part d'un utilisateur légitime.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The s2Member plugin for WordPress is vulnerable to Remote Code Execution in all versions up to, and including, <= 260927 via the 'item_name' parameter parameter. This is due to insufficient sanitization in strip_php_tags_deep(), which only strips literal '<?' sequences, combined with a post-interpolation placeholder cleanup that reassembles a valid '<?php' opener after the attacker-controlled value has already been embedded in the email template. This makes it possible for authenticated attackers, with custom-level access and above, to execute code on the server.