Résumé
Le 2 mai 2026, une faille critique a été découverte dans le plugin User Registration Advanced Fields pour WordPress. Cette vulnérabilité permet à des attaquants non authentifiés d’uploader des fichiers malveillants sur le serveur de votre site, sous réserve qu’un champ "Photo de profil" soit ajouté dans la configuration. Cette CVE est référencée dans le catalogue KEV des vulnérabilités activement exploitées et un code d’exploitation public est disponible.
Solutions
Mettez à jour le plugin vers la dernière version compatible (1.6.21 ou supérieure) pour corriger cette faille.
Dernière mise à jour : 20/10/2026
La faille est activement exploitée : Oui
Details techniques
Score CVSS : 9.8/10
EPSS : 0.87%
Référencée comme KEV : Oui
Code d exploitation disponible : Oui
Date d’ajout au KEV : 15/10/2026
Date de détection de l’exploit : 21/08/2026
Systèmes affectés
User Registration Advanced Fields (versions jusqu’à et incluant 1.6.20)
Documentation
• NIST NVD