Résumé
Le 9 septembre 2026, une faille critique a été découverte dans le plugin PublishPress Capabilities – User Role Editor pour WordPress. Cette vulnérabilité permet à un utilisateur ayant le rôle éditeur (sans être administrateur) de grignoter des pouvoirs supplémentaires sur un site WordPress. Grâce à cette faille, un attaquant pourrait modifier les rôles utilisateurs, restaurer des sauvegardes de rôles ou modifier des paramètres de plugins sans autorisation, sans pour autant obtenir le statut d’administrateur complet. Cette CVE est référencée dans le catalogue KEV des vulnérabilités activement exploitées.
Solutions
Il est urgent d’installer la dernière mise à jour du plugin (version 2.51.0 ou supérieure) pour corriger cette faille.
Dernière mise à jour : 20/10/2026
La faille est activement exploitée : Oui
Details techniques
Score CVSS : 7,2/10 (Élevée)
EPSS : 0,64%
Référencée comme KEV : Oui
Code d exploitation disponible : Non
Date d’ajout au KEV : 15/10/2026
Systèmes affectés
PublishPress Capabilities – User Role Editor (versions jusqu’à 2.50.0)
Documentation
• NIST NVD