Une faille critique touche le plugin WordPress GiveWP
Une faille critique dans GiveWP pouvait permettre l’exécution de code à distance. Les versions 4.16.8 à 4.16.9 ont renforcé la sécurité.
Publié le par Emmanuel LASTRAMis à jour le 2 min de lecture
Une vulnérabilité critique affectait GiveWP, une extension de collecte de dons utilisée sur plus de 100 000 sites WordPress. Répertoriée sous l’identifiant CVE-2026-82222, elle obtenait le score maximal de 10 selon CVSS 3.1. Toutes les versions jusqu’à la 4.16.7.1 incluse étaient concernées.
La faille venait du traitement de données non fiables. Un attaquant pouvait s’en servir pour envoyer des données malveillantes, puis exécuter des commandes sur le serveur. Dans les configurations concernées, l’attaque pouvait être menée sans disposer d’un compte au préalable.
Selon l’analyse technique de Patchstack, un formulaire de don publié suffisait à exposer une installation par défaut de GiveWP 4.16.5.1 ou antérieure. Les versions 4.16.6 à 4.16.7.1 restaient vulnérables, notamment sur les sites mis à niveau depuis une ancienne version ou utilisant l’ancien éditeur de formulaires.
La version 4.16.7.2, publiée le 27 août 2026, a bloqué plusieurs étapes de l’attaque. Elle a aussi nettoyé les objets malveillants qui auraient déjà été enregistrés dans la base de données.
Dans la foulée, GiveWP 4.16.8, publiée le 2 septembre 2026, a supprimé du code ancien et vulnérable lié au rattachement des donateurs, référencé sous CVE-2026-82676. Elle a également renforcé la sécurité de l’accès aux comptes des donateurs afin de corriger CVE-2026-82675.
Cette version a aussi corrigé plusieurs problèmes liés au constructeur de formulaires, à l’enregistrement des noms avec Charitable et aux montants personnalisés. Elle a enfin remplacé la dépendance Axios par apiFetch, fourni par le cœur de WordPress, dans plusieurs interfaces d’administration.
Les versions 4.16.8.1 et 4.16.9, publiées depuis, ont apporté de nouveaux renforcements de sécurité, notamment autour de PayPal Commerce et de l’accès aux données des donateurs ou de leur affichage public.
Il est fortement recommandé de mettre GiveWP à jour vers la version 4.16.9 ou ultérieure sans attendre. En cas de doute, il faut aussi rechercher des fichiers modifiés, des comptes inconnus ou des tâches planifiées suspectes.
Retrouvez Composed dans Google
Ajoutez Composed à vos sources préférées pour retrouver plus facilement nos prochaines actualités.
Ajouter à mes sources Google