CVE-2026-100109 : Comptes privilégiés via Security For WooCommerce
Ce texte a été généré par l'intelligence artificielle (IA).WPScan documente avec CVE-2026-100109 une vulnérabilité dans le plugin WordPress Security For WooCommerce. Sont concernées les versions 1.0.10 à 1.0.16. La vulnérabilité est liée à CVSS 9,8 évaluées et classées dans la catégorie CWE-862 : Autorisation manquante .
La fonction documentée peut être atteinte via une requête HTTP non authentifiée. Cela permet de spécifier le rôle d'un nouveau compte utilisateur. Cela peut permettre la création d'un compte avec des droits d'administrateur et la prise de contrôle d'un site Web concerné.
Absence de vérification des droits lors de la création de comptes
Selon WPScan, il manque une vérification des droits dans l'action WordPress usfw_create_temporary_user . La fonction est accessible aux visiteurs non authentifiés et permet à l'appelant de définir le rôle du compte à créer.
Si un rôle privilégié tel qu'administrateur est spécifié, un attaquant peut créer un compte avec des droits étendus. Le chemin d'attaque documenté ne nécessite ni compte utilisateur existant ni interaction de la part de l'utilisateur.
La valeur CVSS publiée de 9.8 décrit une attaque basée sur le réseau avec une faible complexité, sans autorisations requises et sans interaction de l'utilisateur. La confidentialité, l'intégrité et la disponibilité sont toutes trois évaluées comme élevées dans l'entrée CVSS.
Au moment de la publication, aucune version corrigée du plugin n'est connue. Selon WPScan, aucune exploitation active n'est actuellement documentée.
Vérification de la vulnérabilité et des comptes
Les organisations doivent d'abord vérifier si Security For WooCommerce dans les versions 1.0.10 à 1.0.16 est utilisé sur leurs instances WordPress. Les instances dont la fonction concernée est accessible via HTTP ont une priorité particulière.
La vérification des comptes administrateurs inconnus est une étape de travail à part entière. Les comptes déjà créés peuvent exister même si le plugin est désactivé ou si un correctif est ultérieurement appliqué.
Les mesures recommandées sont :
Recenser les plugins et les versions utilisées sur les instances WordPress.
Vérifier si des comptes administrateurs inconnus ou d'autres utilisateurs privilégiés ont été créés.
Prioriser les systèmes affectés et mettre en œuvre des mesures de réduction appropriées.
Restreindre l'accès à l'action affectée via une règle WAF ou de pare-feu.
Désactiver le plugin tant qu'aucune correction du fabricant n'est disponible.
Mettre à jour vers une version corrigée après sa mise à disposition par le fabricant.
Un inventaire de plugins WordPress régulièrement entretenu aide également à vérifier les CVEs connus sur les composants utilisés.
WooCommerce est l'une des plateformes de commerce électronique les plus utilisées en Allemagne, en Autriche et en Suisse. Les opérateurs en Allemagne et en Autriche, qui sont soumis à la NIS-2 ou à la NISG autrichienne, doivent vérifier si une compromission via cette vulnérabilité déclenche une obligation de notification. Si des données personnelles de citoyens de l'UE sont concernées, une obligation de notification selon l'art. 33 du RGPD peut exister envers l'autorité de protection des données compétente (délai de 72 heures). Pour les organisations suisses, la loi révisée sur la sécurité de l'information (ISG) s'applique avec des obligations de notification envers le BACS.
Classer les instances WordPress accessibles depuis l'extérieur
Security For WooCommerce est exploitée comme un composant côté serveur sous un domaine client. Selon la classification technique actuelle, les instances peuvent être détectées depuis l'extérieur, entre autres, via des chemins de plugin, des en-têtes HTTP ou des signatures de réponse.
LocateRisk peut rendre visibles les applications Web et systèmes accessibles depuis l'extérieur sous des domaines clients. Cela aide à associer les instances WordPress accessibles au public à l'examen technique. Cependant, une instance détectée depuis l'extérieur ne prouve pas automatiquement la version vulnérable réellement utilisée. Pour le CVE-2026-100109, il est donc nécessaire de vérifier l'inventaire des plugins et la version utilisée.
En cas d'exploitation, de maintenance ou de gestion de plugins par des tiers, il convient également de clarifier qui est responsable des mises à jour, des vérifications de comptes et des mesures d'atténuation documentées. La surveillance continue des vulnérabilités et des risques fournisseurs peut intégrer ces tâches dans des processus d'examen récurrents.
Suis-je concerné ?
Concerné est Security For WooCommerce dans les versions mentionnées ci-dessus. Ceux qui souhaitent savoir si Security For WooCommerce est visible dans leur infrastructure accessible depuis l'extérieur peuvent le faire. Vérification rapide CVE à consulter à la fin de cet article : il présente les systèmes exposés et les logiciels identifiables depuis l'extérieur.
Il n'est pas toujours possible de déterminer la version effectivement installée à partir d'éléments externes — il est essentiel de la comparer avec l'avis de sécurité du fabricant.
La vulnérabilité permet à des attaquants non authentifiés de créer un compte WordPress avec un rôle choisi librement — y compris administrateur — en raison d'un contrôle d'autorisation manquant. Cela permet une prise de contrôle complète du site web concerné, sans qu'un compte existant ou une interaction de l'utilisateur soit nécessaire.
Cette affecte les versions 1.0.10 à 1.0.16 du plugin Security For WooCommerce. Au moment de la publication, aucune version corrigée n'est disponible. Les opérateurs doivent désactiver le plugin jusqu'à ce qu'un correctif soit fourni.
Le plugin doit être désactivé jusqu'à la disponibilité d'un correctif. De plus, il est recommandé de restreindre l'accès à l'action WordPress affectée via une règle de pare-feu ou de WAF, ainsi que de vérifier spécifiquement les comptes administrateurs existants pour détecter des entrées inconnues.
État : 05.11.2026. Cet article est destiné à des fins d'information générale et ne constitue pas un conseil juridique, de sécurité ou d'action dans un cas particulier. La situation de sécurité et la disponibilité des correctifs peuvent avoir changé depuis la publication ; seules les recommandations du fabricant liées sont déterminantes. Malgré des recherches approfondies, nous ne garantissons ni l'actualité, ni l'exactitude, ni l'exhaustivité.
Vérification rapide CVE
Vérifiez en quelques minutes si votre surface d'attaque visible depuis l'extérieur présente des indices liés à une vulnérabilité CVE actuelle.
Première évaluation en quelques minutes par e-mail.
Pour en savoir plus, contactez gratuitement un consultant LocateRisk.
Vous recevrez cela par e-mail
EntreprisesVotre société GmbH
CVE vérifiésCVE-2026-100109
Évaluation passive
Remarques concernant le CVEtrouvé ou non trouvé
En savoir plus, réserver une démo ou simplement échanger quelques mots ? Nous nous en réjouissons !
Nous utilisons des cookies pour optimiser notre site web et nos services.
Fonctionnel
Always active
le stockage technique ou l'accès est strictement nécessaire dans le but légitime de permettre l'utilisation d'un service spécifique expressément demandé par l'abonné ou l'utilisateur, ou dans le seul but d'effectuer la transmission d'une communication par la voie d'un réseau de communications électroniques
Préférences
le stockage ou l'accès technique est nécessaire aux fins légitimes de la conservation des préférences qui n'ont pas été demandées par l'abonné ou l'utilisateur.
Statistiques
le stockage ou l'accès technique, à des fins exclusivement statistiques.le stockage ou l'accès technique, utilisé uniquement à des fins statistiques anonymes. En l'absence d'une citation, d'un accord volontaire de ton fournisseur d'accès à Internet ou d'enregistrements supplémentaires de tiers, les informations stockées ou consultées à cette seule fin ne peuvent généralement pas être utilisées pour t'identifier.
Marketing
Le stockage technique ou l'accès est nécessaire pour créer des profils d'utilisateurs, pour envoyer des publicités ou pour suivre l'utilisateur sur un site web ou sur plusieurs sites web à des fins de marketing similaires.
Français 
Deutsch 
English