Une faille dans Frontend Dashboard WordPress, notée 9,0 sur 10 selon la fiche NVD, touche les sites qui affichent des profils de membres. Si votre site utilise cette extension ou ProfileGrid, nous recommandons de passer aux versions corrigées sans attendre.
C’est quoi ?
Les extensions visées acceptent une information déposée par un visiteur qui ne s’est pas identifié, puis la traitent au moment où une page de profil public est consultée.
Une extension est un module ajouté à un site WordPress pour une fonction supplémentaire, ici la gestion de profils de membres. Selon la fiche NVD de la vulnérabilité CVE-2026-103693, les versions concernées n’empêchent pas un visiteur sans compte de faire enregistrer une donnée piégée, ensuite interprétée par le site. La fiche évoque l’écriture de fichiers sur le serveur (l’ordinateur qui héberge le site) et une exécution de code à distance possible, soit une prise de contrôle depuis l’extérieur.
C’est une boîte de dépôt à l’entrée du dépanneur : n’importe qui peut y glisser une note, et le commerçant applique les instructions qu’elle contient sans regarder ce qu’on lui demande. Le problème n’est pas qui dépose la note, mais que son contenu soit exécuté sans contrôle.
Pourquoi c’est grave ?
La note est de 9,0 sur 10 selon la fiche NVD, et aucun identifiant n’est nécessaire pour en profiter.
Cette note vient de l’échelle CVSS 3.1, le barème international qui sert à comparer la gravité des vulnérabilités; elle a été attribuée par l’organisme déclarant (CNA), selon la fiche NVD. Aucune exploitation n’est signalée dans les fiches consultées, soit la fiche NVD et l’avis de WPScan sur la même vulnérabilité. Cela ne permet pas d’affirmer qu’aucune exploitation n’a eu lieu, et la gravité attribuée comme l’absence d’identifiant requis justifient d’agir sans attendre.
Une compromission pourrait rendre un site vitrine indisponible le temps de la remise en état. Des renseignements personnels de membres ou de clients pourraient aussi être exposés. Ces conséquences sont possibles, et nous ne les rattachons à aucune exploitation constatée.
Ça touche qui ?
Les extensions Frontend Dashboard antérieures à la version 3.0.5 et ProfileGrid antérieures à la version 6.0.0.5.
Les versions corrigées sont 3.0.5 pour Frontend Dashboard et 6.0.0.5 pour ProfileGrid, selon la fiche NVD. L’éditeur n’est pas précisé par la fiche. Ces extensions équipent les sites qui publient des profils : associations et OBNL avec annuaire de membres, ordres et regroupements professionnels, clubs sportifs. S’y ajoutent les PME dont le site offre un espace client ou présente une équipe.
Comment vérifier dans mon entreprise ?
Il s’agit de savoir si l’une de ces extensions est installée, et dans quelle version.
- Demander qui est responsable du site et de son entretien : webmestre interne, agence ou hébergeur. À la direction de noter la réponse.
- Ouvrir la section Extensions du tableau de bord WordPress et relever si Frontend Dashboard ou ProfileGrid y figure, et dans quelle version.
- Faire confirmer par le fournisseur que les correctifs d’extensions sont appliqués et que des sauvegardes récentes sont restaurables.
Mise en situation
Exemple fictif : une clinique dentaire dont le site affiche les profils de son équipe et un espace pour les patients inscrits.
Les correctifs d’extensions n’ont pas été appliqués depuis des mois. Un matin, le site ne répond plus et l’hébergeur signale des fichiers inconnus. La prise de rendez-vous en ligne est coupée, la réception bascule au téléphone, et une journée passe à restaurer une sauvegarde. La clinique consigne l’événement dans son registre, puis évalue si les renseignements des patients ont pu être consultés. C’est cette évaluation du risque de préjudice sérieux qui déterminera s’il faut aviser la Commission d’accès à l’information et les personnes concernées.
Ce que change la faille dans Frontend Dashboard WordPress pour une organisation d’ici
Au Québec, la Loi sur la protection des renseignements personnels dans le secteur privé impose de tenir un registre des incidents de confidentialité. Elle oblige à aviser la Commission d’accès à l’information et les personnes concernées lorsque le risque de préjudice sérieux existe. Nous distinguons la vulnérabilité (un défaut présent dans un logiciel), la compromission (une attaque réussie) et l’incident de confidentialité, qui seul déclenche ces obligations. Une page de profils vulnérable n’y entre pas d’office. Le Centre canadien pour la cybersécurité place par ailleurs l’application des correctifs parmi ses contrôles de base.
Quoi faire maintenant
- Sauvegarder le site en entier, fichiers et base de données (où le site conserve textes, comptes et profils), avant toute manipulation.
- Vérifier la présence et la version de Frontend Dashboard et de ProfileGrid dans le tableau de bord.
- Installer Frontend Dashboard 3.0.5 ou plus récent, ProfileGrid 6.0.0.5 ou plus récent.
- Désactiver l’extension si le correctif ne peut être appliqué rapidement, puis confirmer la suite avec l’hébergeur ou le webmestre.
- Demander au webmestre d’examiner les fichiers récemment modifiés et les comptes créés récemment.
FAQ
Notre site est petit, sommes-nous vraiment concernés ?
La taille de l’organisation n’entre pas en ligne de compte. Ce qui détermine l’exposition, c’est l’extension installée et sa version, pas le nombre de visiteurs. La question utile n’est donc pas votre taille, mais la version de vos extensions.
Devons-nous agir même si aucune attaque n’est signalée ?
Oui. Aucune exploitation n’est signalée dans les fiches consultées, mais la vulnérabilité est publique et la note attribuée est élevée. Appliquer la version corrigée maintenant réduit fortement l’exposition.
Une fois la mise à jour faite, sommes-nous tranquilles ?
Pour cette vulnérabilité précise, la version corrigée active ferme la porte. Cela ne dit rien d’une compromission qui aurait eu lieu avant. Corriger la faille et vérifier qu’un site n’a pas déjà été touché sont deux démarches distinctes; la seconde demande un examen du site avec votre webmestre ou votre hébergeur. Au-delà, il n’existe pas de protection absolue : méfiez-vous de tout discours qui promet un risque zéro. Ce qui tient, c’est une routine de correctifs, des sauvegardes testées et un responsable désigné.
Sources
- Fiche CVE-2026-103693 de la National Vulnerability Database · NIST, 29 octobre 2026
- Avis de sécurité (wpscan.com) · wpscan.com
- Centre canadien pour la cybersécurité : contrôles de cybersécurité de base pour les petites et moyennes organisations · liste de contrôles de référence
- Commission d’accès à l’information du Québec · obligations, registre des incidents et notification
Source : NVD (NIST) · https://nvd.nist.gov/vuln/detail/CVE-2026-103693
Article préparé par la veille de RISS Canada à partir des sources publiques citées ci-dessus, avec l’aide d’outils d’intelligence artificielle, puis contrôlé selon notre charte éditoriale.
