MEDIUMCVE-2026-1032CVSS 4.3

CVE-2026-1032: CSRF dans Conditional Menus WordPress

Plateforme

wordpress

Composant

conditional-menus

Corrigé dans

1.2.7

AI Confidence: highNVDEPSS 0.0%Révisé: mai 2026

La vulnérabilité CVE-2026-1032 affecte le plugin Conditional Menus pour WordPress. Elle se manifeste par une faille de Cross-Site Request Forgery (CSRF) permettant à un attaquant non authentifié de modifier les affectations de menus conditionnels. Cette vulnérabilité touche les versions 1.0.0 à 1.2.6 du plugin. Une version corrigée, 1.2.7, est désormais disponible.

WordPress

Détecte cette CVE dans ton projet

Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.

Impact et Scénarios d'Attaque

Un attaquant peut exploiter cette vulnérabilité CSRF en créant une requête malveillante et en incitant un administrateur du site à la soumettre, par exemple, en cliquant sur un lien piégé. La modification des affectations de menus conditionnels peut entraîner des redirections non désirées, des modifications de contenu ou d'autres actions malveillantes sur le site WordPress. L'impact est amplifié si l'administrateur a des privilèges étendus, car il pourrait potentiellement compromettre l'ensemble du site. Bien que la vulnérabilité ne permette pas l'exécution de code arbitraire, elle offre un moyen d'altérer le comportement du site et de tromper les utilisateurs.

Contexte d'Exploitation

Cette vulnérabilité a été publiée le 26 mars 2026. Il n'y a pas d'indication d'exploitation active à ce jour. Aucun PoC public n'est connu. La vulnérabilité n'a pas encore été ajoutée au catalogue KEV de CISA. La probabilité d'exploitation est considérée comme faible en l'absence de PoC et d'exploitation confirmée.

Qui Est à Risquetraduction en cours…

WordPress sites utilizing the Conditional Menus plugin, particularly those with administrators who are not adequately trained in security best practices, are at risk. Shared hosting environments where multiple websites share the same server resources could also be affected if one site is compromised and used to launch attacks against others.

Étapes de Détectiontraduction en cours…

• wordpress / composer / npm:

grep -r 'save_options' /var/www/html/wp-content/plugins/conditional-menus/

• generic web:

curl -I https://example.com/wp-admin/admin-ajax.php?action=conditional_menus_save_options&... # Check for missing nonce

Chronologie de l'Attaque

  1. Disclosure

    disclosure

Renseignement sur les Menaces

Statut de l'Exploit

Preuve de ConceptInconnu
CISA KEVNO
Exposition InternetÉlevée

EPSS

0.01% (percentile 2%)

CISA SSVC

Exploitationnone
Automatisableno
Impact Techniquepartial

Vecteur CVSS

RENSEIGNEMENT SUR LES MENACES· CVSS 3.1CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N4.3MEDIUMAttack VectorNetworkComment l'attaquant atteint la cibleAttack ComplexityLowConditions requises pour exploiterPrivileges RequiredNoneNiveau d'authentification requisUser InteractionRequiredSi une action de la victime est requiseScopeUnchangedImpact au-delà du composant affectéConfidentialityNoneRisque d'exposition de données sensiblesIntegrityLowRisque de modification non autorisée de donnéesAvailabilityNoneRisque d'interruption de servicenextguardhq.com · Score de base CVSS v3.1
Que signifient ces métriques?
Attack Vector
Réseau — exploitable à distance via internet. Aucun accès physique ou local requis.
Attack Complexity
Faible — aucune condition spéciale requise. Exploitable de manière fiable.
Privileges Required
Aucun — sans authentification. Aucune identifiant requis pour exploiter.
User Interaction
Requise — la victime doit ouvrir un fichier, cliquer sur un lien ou visiter une page.
Scope
Inchangé — impact limité au composant vulnérable.
Confidentiality
Aucun — aucun impact sur la confidentialité.
Integrity
Faible — l'attaquant peut modifier certaines données avec un impact limité.
Availability
Aucun — aucun impact sur la disponibilité.

Logiciel Affecté

Composantconditional-menus
Fournisseurwordfence
Plage affectéeCorrigé dans
0 – 1.2.61.2.7

Informations sur le paquet

Installations actives
60KConnu
Note du plugin
4.4
Nécessite WordPress
4.0+
Compatible jusqu'à
6.9.4

Classification de Faiblesse (CWE)

Chronologie

  1. Réservé
  2. Publiée
  3. Modifiée
  4. EPSS mis à jour

Mitigation et Contournements

La solution la plus efficace est de mettre à jour le plugin Conditional Menus vers la version 1.2.7 ou supérieure, qui corrige la vulnérabilité CSRF. En attendant la mise à jour, il est possible de renforcer la sécurité en limitant les privilèges des administrateurs et en sensibilisant les utilisateurs aux risques de phishing. L'utilisation d'un plugin de sécurité WordPress peut également aider à détecter et à bloquer les requêtes CSRF malveillantes. Après la mise à jour, vérifiez que les affectations de menus conditionnels n'ont pas été modifiées de manière inattendue.

Comment corriger

Mettre à jour vers la version 1.2.7, ou une version corrigée plus récente

Newsletter Sécurité CVE

Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.

Questions fréquentes

Que signifie CVE-2026-1032 — CSRF dans Conditional Menus WordPress ?

CVE-2026-1032 décrit une vulnérabilité CSRF (Cross-Site Request Forgery) dans le plugin Conditional Menus pour WordPress, permettant à un attaquant de modifier les affectations de menus conditionnels.

Suis-je affecté par CVE-2026-1032 dans Conditional Menus WordPress ?

Oui, si vous utilisez Conditional Menus WordPress dans les versions 1.0.0 à 1.2.6, vous êtes affecté par cette vulnérabilité.

Comment corriger CVE-2026-1032 dans Conditional Menus WordPress ?

Mettez à jour le plugin Conditional Menus vers la version 1.2.7 ou supérieure pour corriger la vulnérabilité CSRF.

CVE-2026-1032 est-il activement exploité ?

À l'heure actuelle, il n'y a aucune indication d'exploitation active de CVE-2026-1032, mais il est important de mettre à jour rapidement pour se protéger.

Où puis-je trouver l'avis officiel de WordPress pour CVE-2026-1032 ?

Consultez l'avis officiel de WordPress sur le site web de WordPress.org pour plus d'informations sur CVE-2026-1032 et les mesures correctives.

Ton projet est-il affecté ?

Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.