Pods : une faille critique ouvrait 100 000 sites WordPress à un inconnu

Par La rédaction dmozPublié le 21 août 2026

Une extension WordPress très répandue, Pods, installée sur plus de 100 000 sites, a laissé pendant un temps une porte grande ouverte : n'importe quel visiteur, sans compte et sans mot de passe, pouvait se hisser au rang d'administrateur du site, ou remplacer le mot de passe du propriétaire. La faille est notée 9,8 sur 10, soit le tout dernier échelon avant le maximum. Elle est corrigée depuis le 14 août 2026.

Ce que la faille permettait vraiment

Le terme employé par les spécialistes est « élévation de privilèges sans authentification ». En français courant : un inconnu, qui n'a aucun compte sur votre site et n'a fourni aucun mot de passe, pouvait s'attribuer les pleins pouvoirs.

Concrètement, deux gestes lui étaient possibles. Le premier : se donner le rôle d'administrateur, celui qui permet d'installer une extension, de modifier n'importe quelle page, d'ajouter du code. Le second, plus direct encore : écraser le mot de passe de n'importe quel compte du site, y compris celui du propriétaire. Dans les deux cas, le résultat est le même, la personne repart avec le site sous le bras et vous restez dehors.

C'est ce qui explique la note de 9,8 sur 10. Cette échelle, appelée CVSS, sert à classer les failles selon leur dangerosité. Au-delà de 9, on parle de gravité critique. Il n'y a pas de préalable, pas de compte à obtenir d'abord, pas de manipulation à faire faire à la victime : l'attaque part de zéro et donne tout.

Qui est concerné

Pods est une extension qui sert à créer des types de contenus et des champs sur mesure. Autrement dit, elle est surtout installée sur des sites qui ne se contentent pas d'articles de blog : annuaires, catalogues, fiches produits, bases de données éditoriales. Elle revendique plus de 100 000 installations actives.

Ce qu'il faut faire, dans l'ordre

1. Ouvrir la liste des extensions de votre site et repérer Pods. Le numéro de version est affiché juste en dessous du nom.
2. Comparer avec la liste des versions sûres ci-dessus. Si votre numéro est 3.3.9 ou inférieur, et qu'il ne figure pas dans la liste des versions corrigées, mettez à jour immédiatement.
3. Passer en revue les comptes du site. Un administrateur inconnu, un pseudonyme que personne ne reconnaît, une adresse électronique bizarre : ce sont les traces les plus courantes.
4. Changer les mots de passe des comptes à pouvoir si le moindre doute subsiste.
5. Vérifier les extensions installées, au cas où une nouvelle serait apparue sans que vous l'ayez demandée.

Comment une telle faille arrive

Le mécanisme mérite d'être raconté, parce qu'il est très instructif sur la façon dont les protections tombent.

Pods possède un aiguilleur interne, une sorte de standard téléphonique qui reçoit les demandes venues du navigateur et les redirige vers la bonne fonction d'administration. Avant de laisser passer une demande, cet aiguilleur pose plusieurs questions de contrôle : la fonction demandée est-elle dans la liste autorisée ? le jeton de sécurité est-il valable ? la personne est-elle connectée ? a-t-elle les droits nécessaires ? Sur le papier, quatre verrous.

Le problème est que ces quatre verrous confiaient tous leur réponse à la même fonction chargée de signaler les erreurs. Et cette fonction, dans un cas particulier de compatibilité avec un ancien mode d'affichage, ne faisait pas ce qu'on attendait d'elle : au lieu d'arrêter net la demande, elle se contentait d'écrire l'erreur dans un journal technique puis de répondre « non » à l'aiguilleur, qui poursuivait quand même son chemin. Les quatre verrous étaient bien là, ils claquaient bien, mais aucun ne fermait la porte.

C'est une leçon qui dépasse largement cette extension : un contrôle de sécurité ne vaut que si son échec interrompt l'opération. Un contrôle qui se contente de noter dans un carnet que quelque chose ne va pas ne protège rien du tout.

Le calendrier, jour par jour

Deux choses méritent d'être relevées. La première, c'est la réactivité de l'équipe de Pods, deux jours pour livrer un correctif sur une faille de cette nature. La seconde est moins réjouissante : entre la protection des clients payants et celle des utilisateurs gratuits d'un outil de sécurité, il y a trente jours d'écart. Un mois pendant lequel la seule vraie protection est la mise à jour de l'extension elle-même. C'est un argument de plus pour ne pas remettre les mises à jour à plus tard.

Le chercheur qui a trouvé la faille, Nhien Pham, a touché une prime de 3 900 dollars. Cette somme dit assez bien ce que vaut ce genre de trouvaille : sur un marché moins fréquentable, elle se serait négociée bien plus cher.

Une semaine parmi d'autres

Cette faille n'est pas un accident isolé. Pour la seule semaine du 10 au 16 août 2026, 259 failles ont été enregistrées dans 199 extensions et 5 thèmes WordPress, signalées par 142 chercheurs. Parmi elles, 28 sont classées critiques, comme celle de Pods, et 55 n'avaient encore aucun correctif au moment de la publication.

Le classement par type de défaut est instructif : 59 injections de code dans les pages, 50 absences de contrôle d'autorisation, 38 injections de base de données. Les trois quarts des problèmes viennent donc de la même famille : du texte envoyé par un visiteur que le programme accepte sans le vérifier assez, ou une porte que personne ne garde vraiment.

← Toutes les failles WordPress