Multiples vulnérabilités affectant des extensions WordPress

Invoice Generator est une extension WordPress permettant de créer et de gérer des factures. SignUp & SignIn est quant à elle une extension WordPress qui simplifie l'inscription, l'authentification et la gestion des profils utilisateurs. Ces solutions sont affectées par plusieurs vulnérabilités libellées comme suit : CVE-2026-12416 : vulnérabilité résultant d'une absence de contrôle d'autorisation et de validation lors de l'appel à la fonction « pravel_invoice_change_password() » de l'extension Invoice Generator. Son exploitation permettrait à un acteur malveillant non authentifié de réinitialiser et de modifier le mot de passe de n'importe quel utilisateur, y compris les administrateurs, conduisant à la prise de contrôle complète des comptes. Elle est classée critique avec un score de sévérité de 9.8 selon le CVSS v3.1. CVE-2026-12417 : vulnérabilité due à une validation faible et insuffisante lors du processus de réinitialisation du mot de passe (via le paramètre « reset_activation_code ») de l'extension SignUp & SignIn. Elle permettrait à un acteur malveillant non authentifié d'élever ses privilèges et de prendre le contrôle des comptes ciblés. Elle est classée critique avec un score de sévérité de 9.8 selon le CVSS v3.1.

• Extension Invoice Generator versions 1.0.0 et antérieures ;
• Extension SignUp & SignIn versions 1.0.0 et antérieures.