Plateforme
wordpress
Composant
ultra-admin
Corrigé dans
11.7.1
Une vulnérabilité de Cross-Site Scripting (XSS) Refletée a été découverte dans le plugin Ultra WordPress Admin. Cette faille permet à un attaquant d'injecter des scripts malveillants dans les pages web, potentiellement compromettant la sécurité des utilisateurs. Elle affecte les versions de 0.0.0 jusqu'à et incluant 11.7. Une mise à jour vers une version corrigée est recommandée.
L'exploitation réussie de cette vulnérabilité XSS permet à un attaquant d'injecter du code JavaScript arbitraire dans les pages web consultées par les utilisateurs d'Ultra WordPress Admin. Cela peut conduire au vol de cookies de session, à l'usurpation d'identité, à la redirection vers des sites malveillants, ou à la modification du contenu du site web. L'attaquant peut également utiliser cette faille pour diffuser du contenu malveillant à d'autres utilisateurs. Le risque est d'autant plus important que le plugin Ultra WordPress Admin est souvent utilisé pour gérer des aspects critiques de la configuration et de l'administration des sites WordPress.
Cette vulnérabilité a été publiée le 25 mars 2026. Il n'y a pas d'indication d'exploitation active à ce jour. La probabilité d'exploitation est considérée comme moyenne en raison de la nature relativement simple de l'exploitation XSS et de la popularité des plugins WordPress. Il est conseillé de surveiller les forums de sécurité et les bases de données de vulnérabilités pour toute nouvelle information.
Websites utilizing the Ultra WordPress Admin plugin, particularly those with user input fields or forms, are at risk. Shared hosting environments where multiple websites share the same server resources are also vulnerable, as a compromise of one site could potentially impact others. Administrators who haven't recently updated the plugin are especially vulnerable.
• wordpress / composer / npm:
grep -r 'Ultra WordPress Admin' /var/www/html/wp-content/plugins/
wp plugin list | grep 'Ultra WordPress Admin'• generic web:
curl -I https://example.com/?param=<script>alert(1)</script>• wordpress / composer / npm:
wp plugin status | grep 'Ultra WordPress Admin'disclosure
Statut de l'Exploit
EPSS
0.04% (percentile 11%)
CISA SSVC
Vecteur CVSS
La mitigation principale consiste à mettre à jour le plugin Ultra WordPress Admin vers la dernière version disponible, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, il est recommandé de désactiver temporairement le plugin. En attendant, un Web Application Firewall (WAF) peut être configuré pour bloquer les requêtes contenant des charges utiles XSS suspectes. Des règles de validation des entrées utilisateur doivent également être mises en place pour empêcher l'injection de code malveillant. Il est crucial de vérifier après la mise à jour que la vulnérabilité est bien corrigée en testant les points d'entrée potentiels avec des charges utiles XSS.
Aucun correctif connu n'est disponible. Veuillez examiner en profondeur les détails de la vulnérabilité et mettre en œuvre des mesures d'atténuation en fonction de la tolérance au risque de votre organisation. Il peut être préférable de désinstaller le logiciel affecté et de trouver un remplacement.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2026-22523 is a Reflected XSS vulnerability in the Ultra WordPress Admin plugin, allowing attackers to inject malicious scripts via crafted URLs.
You are affected if you are using Ultra WordPress Admin versions 0.0.0 through 11.7. Check your plugin version and upgrade immediately.
Upgrade the Ultra WordPress Admin plugin to the latest available version which contains the security fix. If upgrading is not possible, implement temporary workarounds like input validation and WAF rules.
As of the current date, there are no confirmed reports of active exploitation, but the vulnerability is publicly known and could be targeted.
Refer to the official Ultra WordPress Admin website or WordPress plugin repository for the latest advisory and update information.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.