Un expert béninois de la cybersécurité est à l’origine de la découverte responsable de deux vulnérabilités affectant des extensions WordPress. Orfel Adonis Homevo, Manager SOC OIIC/SFD au sein de l’Agence des Systèmes d’Information et du Numérique (ASIN), est crédité pour les failles CVE-2026-9273 dans Kadence Memberships et CVE-2026-106611 dans Forminator.
Deux failles WordPress identifiées depuis le Bénin
L’ASIN a mis en avant le travail de son analyste, membre de l’écosystème bjCSIRT, dans une publication consacrée à la divulgation responsable. Les deux problèmes ont été transmis à des programmes spécialisés avant leur publication : Wordfence pour Kadence Memberships et Patchstack pour Forminator.
Cette démarche consiste à prévenir l’éditeur, lui laisser le temps de produire un correctif puis publier les détails nécessaires à la protection des utilisateurs. Elle réduit la période pendant laquelle une faille connue demeure sans solution et permet aux administrateurs de recevoir une alerte exploitable.
| Identifiant | Extension | Risque | Version corrigée |
| CVE-2026-9273 | Kadence Memberships | Prise de contrôle de compte | Version postérieure à 4.0.0 |
| CVE-2026-106611 | Forminator | Requête CSRF | 1.58.0 ou ultérieure |
CVE-2026-9273 : un lien de réinitialisation détournable
La première vulnérabilité concerne Membership Plugin – Kadence Memberships, anciennement Restrict Content. Toutes les versions jusqu’à la 4.0.0 incluse sont affectées. Avec un score CVSS de 9,3, elle est classée critique.
Le problème relève du « password reset link poisoning ». Dans certaines conditions, un attaquant non authentifié peut influencer la génération ou la destination d’un lien de réinitialisation de mot de passe. Si l’opération aboutit, ce lien peut être récupéré ou redirigé vers une infrastructure contrôlée par l’attaquant, ouvrant la voie à une prise de contrôle du compte ciblé.
Le risque devient particulièrement sérieux lorsque le compte visé dispose de privilèges d’administration. L’attaquant pourrait alors modifier le site, ajouter des utilisateurs, installer du code malveillant ou accéder aux données gérées par WordPress.
CVE-2026-106611 : Forminator exposé à une attaque CSRF
La seconde faille touche Forminator, une extension utilisée pour créer des formulaires, sondages et quiz. Les versions jusqu’à la 1.57.3 incluse sont vulnérables. Patchstack lui attribue un score CVSS de 7,1 et indique que le correctif est disponible dans la version 1.58.0.
Une attaque Cross-Site Request Forgery vise à faire exécuter une action à un utilisateur déjà authentifié sans que celui-ci en ait conscience. L’attaquant prépare une page ou un lien piégé, puis incite une personne disposant des droits nécessaires à l’ouvrir. Le navigateur peut alors envoyer une requête au site WordPress en utilisant la session active de la victime.
L’exploitation exige donc une interaction de l’utilisateur. Elle n’en reste pas moins importante, car elle peut entraîner des modifications non autorisées de configurations ou de données. Les administrateurs doivent se méfier des liens reçus de manière inattendue, même lorsqu’ils sont déjà connectés à leur tableau de bord.
Que doivent faire les administrateurs WordPress ?
- Mettre Forminator à jour vers la version 1.58.0 ou une version plus récente.
- Vérifier que Kadence Memberships n’est plus en version 4.0.0 ou antérieure et appliquer la dernière version disponible.
- Contrôler les comptes administrateurs, les réinitialisations de mot de passe et les créations d’utilisateurs récentes.
- Révoquer les sessions inconnues et renouveler les mots de passe en cas de comportement suspect.
- Activer une authentification multifacteur pour les comptes à privilèges.
- Supprimer les extensions inutilisées et automatiser les sauvegardes avant chaque mise à jour.
Une reconnaissance pour la recherche africaine en cybersécurité
Au-delà des correctifs, cette double découverte illustre la montée en puissance des capacités africaines de recherche en vulnérabilités. Le travail d’un CSIRT ne se limite pas à répondre aux incidents nationaux : il peut aussi contribuer directement à la sécurité de logiciels utilisés partout dans le monde.
La divulgation coordonnée crée également un cercle vertueux. Les chercheurs obtiennent une reconnaissance formelle, les éditeurs renforcent leurs produits et les administrateurs disposent de recommandations précises. Pour les organisations africaines, soutenir les laboratoires, les programmes de bug bounty et la formation technique devient un investissement stratégique.
