Résumé
Le 16 octobre 2026, une faille critique a été découverte dans le plugin My Login pour WordPress. Elle permet à des attaquants non authentifiés de prendre le contrôle d’un autre utilisateur (via un changement de mot de passe) sur des sites multi-utilisateurs, sans vérifier correctement qui se connecte. Cette CVE est référencée dans le catalogue KEV des vulnérabilités activement exploitées, et un code d’exploitation public est disponible.
Solutions
Mettez à jour le plugin My Login vers la dernière version corrigée (disponible sur le dépôt officiel de WordPress) pour éliminer cette faille.
Dernière mise à jour : 20/10/2026
La faille est activement exploitée : Oui
Details techniques
Score CVSS : 9.8
Score EPPS : 0.29%
Référencée comme KEV : oui
Code d exploitation disponible : Oui
Systèmes affectés
• My Login <= 7.2.1
Documentation
• NIST NVD (https://nvd.nist.gov/vuln/detail/CVE-2026-89079)
• CVE Details (https://www.cvedetails.com/cve/CVE-2026-89079/)
• Référence CVE (https://www.cve.org/CVERecord?id=CVE-2026-89079)