Résultat du scan pour
www.capitalchic.fr
Confirmé
Ce que le scan a directement lu et vérifié sur votre site. Ces constats déterminent votre score.
PHP 7.4 en fin de vie (EOL_VULNERABLE)
CritiqueLa branche PHP 7.4 ne reçoit officiellement plus aucun correctif de sécurité depuis sa fin de support. Elle n'a donc jamais pu recevoir les correctifs CVE-2026-109618 / CVE-2026-109619 ni aucun correctif futur.
🔎 Preuve : En-tête HTTP X-Powered-By lu directement : "PHP/7.4" → branche 7.4, fin de vie officielle PHP.net
🔒 Recommandation détaillée débloquée avec le rapport complet
Elementor Website Builder – more than just a page builder 3.35.8 — 7 vulnérabilités connues
ÉlevéeVoir les 7 vulnérabilités →
Elementor Website Builder – more than just a page builder [elementor] < 4.1.4 — confirmé par la base publique WPVulnerability.net pour la version installée 3.35.8.
🔎 Preuve : Version lue dans /wp-content/plugins/elementor/readme.txt : 3.35.8 ; plage vulnérable confirmée par WPVulnerability.net (https://www.cve.org/CVERecord?id=CVE-2026-8825)
🔒 Recommandation détaillée débloquée avec le rapport complet
Elementor Website Builder – more than just a page builder [elementor] < 4.3.5 — confirmé par la base publique WPVulnerability.net pour la version installée 3.35.8.
🔎 Preuve : Version lue dans /wp-content/plugins/elementor/readme.txt : 3.35.8 ; plage vulnérable confirmée par WPVulnerability.net (https://www.cve.org/CVERecord?id=CVE-2026-81813)
🔒 Recommandation détaillée débloquée avec le rapport complet
Elementor Website Builder – more than just a page builder [elementor] < 4.3.5 — confirmé par la base publique WPVulnerability.net pour la version installée 3.35.8.
🔎 Preuve : Version lue dans /wp-content/plugins/elementor/readme.txt : 3.35.8 ; plage vulnérable confirmée par WPVulnerability.net (https://www.cve.org/CVERecord?id=CVE-2026-81812)
🔒 Recommandation détaillée débloquée avec le rapport complet
Elementor Website Builder – more than just a page builder [elementor] < 4.0.5 — confirmé par la base publique WPVulnerability.net pour la version installée 3.35.8.
🔎 Preuve : Version lue dans /wp-content/plugins/elementor/readme.txt : 3.35.8 ; plage vulnérable confirmée par WPVulnerability.net (https://www.cve.org/CVERecord?id=CVE-2026-6127)
🔒 Recommandation détaillée débloquée avec le rapport complet
Elementor Website Builder – more than just a page builder [elementor] < 4.1.1 — confirmé par la base publique WPVulnerability.net pour la version installée 3.35.8.
🔎 Preuve : Version lue dans /wp-content/plugins/elementor/readme.txt : 3.35.8 ; plage vulnérable confirmée par WPVulnerability.net (https://www.cve.org/CVERecord?id=CVE-2026-49782)
🔒 Recommandation détaillée débloquée avec le rapport complet
Elementor Website Builder – more than just a page builder [elementor] < 4.1.4 — confirmé par la base publique WPVulnerability.net pour la version installée 3.35.8.
🔎 Preuve : Version lue dans /wp-content/plugins/elementor/readme.txt : 3.35.8 ; plage vulnérable confirmée par WPVulnerability.net (https://www.cve.org/CVERecord?id=CVE-2026-57619)
🔒 Recommandation détaillée débloquée avec le rapport complet
Elementor Website Builder – more than just a page builder [elementor] < 4.2.4 — confirmé par la base publique WPVulnerability.net pour la version installée 3.35.8.
🔎 Preuve : Version lue dans /wp-content/plugins/elementor/readme.txt : 3.35.8 ; plage vulnérable confirmée par WPVulnerability.net (https://www.cve.org/CVERecord?id=CVE-2026-11905)
🔒 Recommandation détaillée débloquée avec le rapport complet
Plugin "Ultimate Addons for Elementor – Widgets, Templates, WooCommerce & Header Footer Builder" 2.8.5 vulnérable (CVE-2026-15787, 6c9d0b8d426dbaf1f77e991d918a0de1272bce5f)
ÉlevéeUltimate Addons for Elementor – Widgets, Templates, WooCommerce & Header Footer Builder [header-footer-elementor] < 2.9.2 — confirmé par la base publique WPVulnerability.net pour la version installée 2.8.5.
🔎 Preuve : Version lue dans /wp-content/plugins/header-footer-elementor/readme.txt : 2.8.5 ; plage vulnérable confirmée par WPVulnerability.net (https://www.cve.org/CVERecord?id=CVE-2026-15787)
🔒 Recommandation détaillée débloquée avec le rapport complet
Cookie de session sans attribut(s) Secure/HttpOnly/SameSite
MoyenneLe cookie "phpsessid" est émis sans l'attribut Secure ni HttpOnly ni SameSite, ce qui l'expose respectivement au vol en clair, à l'accès via JavaScript (XSS) ou aux attaques CSRF.
🔎 Preuve : En-tête Set-Cookie lu directement pour "phpsessid" : attribut(s) manquant(s) Secure, HttpOnly, SameSite
🔒 Recommandation détaillée débloquée avec le rapport complet
Plugin "WP Popular Posts" 7.3.8 vulnérable (CVE-2026-92548, afc42c6622e85cc5a0db3ce7623640d6b3538e76, EUVD-2026-90477)
MoyenneWP Popular Posts [wordpress-popular-posts] < 7.4.3 — confirmé par la base publique WPVulnerability.net pour la version installée 7.3.8.
🔎 Preuve : Version lue dans /wp-content/plugins/wordpress-popular-posts/readme.txt : 7.3.8 ; plage vulnérable confirmée par WPVulnerability.net (https://www.cve.org/CVERecord?id=CVE-2026-92548)
🔒 Recommandation détaillée débloquée avec le rapport complet
Technologie détectée : WordPress
InfoLe scan a identifié WordPress sur ce site.
🔎 Preuve : chemin '/wp-content/' trouvé dans le HTML ; chemin '/wp-includes/' trouvé dans le HTML ; balise meta generator="WordPress 7.1.3" trouvée ; référence '/wp-json' trouvée dans le HTML (API REST WordPress)
🔒 Recommandation détaillée débloquée avec le rapport complet
En-tête X-Powered-By exposé
InfoLe serveur expose la bannière technique "PHP/7.4", ce qui facilite le ciblage d'attaques par un tiers malveillant (fuite d'information, expose_php actif).
🔎 Preuve : En-tête HTTP X-Powered-By lu directement : "PHP/7.4"
🔒 Recommandation détaillée débloquée avec le rapport complet
En-tête de sécurité manquant : Strict-Transport-Security (HSTS)
InfoLe site ne renvoie pas l'en-tête Strict-Transport-Security (HSTS), une protection standard contre plusieurs classes d'attaques côté navigateur.
🔎 Preuve : En-tête HTTP Strict-Transport-Security (HSTS) absent de la réponse (vérifié directement)
🔒 Recommandation détaillée débloquée avec le rapport complet
En-tête de sécurité manquant : X-Frame-Options
InfoLe site ne renvoie pas l'en-tête X-Frame-Options, une protection standard contre plusieurs classes d'attaques côté navigateur.
🔎 Preuve : En-tête HTTP X-Frame-Options absent de la réponse (vérifié directement)
🔒 Recommandation détaillée débloquée avec le rapport complet
En-tête de sécurité manquant : Content-Security-Policy
InfoLe site ne renvoie pas l'en-tête Content-Security-Policy, une protection standard contre plusieurs classes d'attaques côté navigateur.
🔎 Preuve : En-tête HTTP Content-Security-Policy absent de la réponse (vérifié directement)
🔒 Recommandation détaillée débloquée avec le rapport complet
En-tête de sécurité manquant : X-Content-Type-Options
InfoLe site ne renvoie pas l'en-tête X-Content-Type-Options, une protection standard contre plusieurs classes d'attaques côté navigateur.
🔎 Preuve : En-tête HTTP X-Content-Type-Options absent de la réponse (vérifié directement)
🔒 Recommandation détaillée débloquée avec le rapport complet
wp2shell (CVE-2026-63030 / CVE-2026-60137) : branche hors périmètre
InfoWordPress 7.1.3 (branche 7.1) est en dehors du périmètre documenté pour cette vague de CVE (branches 6.8 à 7.0). Aucune conclusion ne peut être tirée sur ce point précis.
🔎 Preuve : Version du cœur WordPress lue directement : 7.1.3 (branche 7.1, hors table wp2shell 6.8–7.0)
🔒 Recommandation détaillée débloquée avec le rapport complet
Plugin "Contact Form 7" 6.1.5 — aucune CVE connue
InfoPlugin détecté en version 6.1.5. Aucune vulnérabilité connue ne correspond à cette version dans la base WPVulnerability.net.
🔎 Preuve : Version lue dans /wp-content/plugins/contact-form-7/readme.txt : 6.1.5 ; comparée aux 12 entrée(s) de la base WPVulnerability.net pour le slug "contact-form-7"
🔒 Recommandation détaillée débloquée avec le rapport complet
Thème "royella" 1.0.0 — aucune CVE connue
InfoThème détecté en version 1.0.0. Aucune vulnérabilité connue ne correspond à cette version dans la base WPVulnerability.net.
🔎 Preuve : Version lue dans /wp-content/themes/royella/style.css : 1.0.0 ; comparée aux 0 entrée(s) de la base WPVulnerability.net pour le slug "royella"
🔒 Recommandation détaillée débloquée avec le rapport complet
À vérifier
Hypothèses que le scan ne peut pas confirmer à distance avec certitude. Elles méritent une vérification manuelle mais ne sont pas comptées dans le score.
Plugin "Smash Balloon Social Photo Feed – Easy Social Feeds Plugin" (instagram-feed) détecté, version non lisible
MoyenneCe plugin est référencé dans les assets de la page, mais sa version exacte n'a pas pu être lue (pas de readme.txt accessible). Des vulnérabilités sont connues pour ce plugin dans la base publique WPVulnerability.net : 0f602c2fa3da61fde88d461b5bfa94514dba3dee, 4cd4f9d7a71cd609f161d10286616a84533e6de4, e766e165-1a05-4065-9e71-27b528641dd2, cff60996de18d96c853c179f6dd70c33a7a6fa31, 6c4256eeb71c37c6520e635a4f6b8122301d34e8.
🔎 Preuve : Slug "instagram-feed" trouvé dans les assets enqueued du HTML ; readme.txt inaccessible à distance
🔒 Recommandation détaillée débloquée avec le rapport complet
Plugin "ActiveCampaign – The autonomous marketing platform" (activecampaign-subscription-forms) détecté, version non lisible
MoyenneCe plugin est référencé dans les assets de la page, mais sa version exacte n'a pas pu être lue (pas de readme.txt accessible). Des vulnérabilités sont connues pour ce plugin dans la base publique WPVulnerability.net : CVE-2021-24133, a72a5be4-654b-496f-94cd-3814c0e40120, 348ce55c77a60061d8e4c237fb74ce9eadf88aa9, 33af38e01a6bb9c614387db52aedfdf4d35b54d7, CVE-2023-0233.
🔎 Preuve : Slug "activecampaign-subscription-forms" trouvé dans les assets enqueued du HTML ; readme.txt inaccessible à distance
🔒 Recommandation détaillée débloquée avec le rapport complet
Rapport de sécurité complet pour www.capitalchic.fr
Analyse détaillée de chaque vulnérabilité, impact concret pour votre activité, et plan d'action priorisé avec les étapes exactes selon votre hébergeur.
Résumé pour www.capitalchic.fr : 11 points nécessitant une action a été identifié lors du scan.
Priorité n°1 : corriger les constats de sévérité la plus élevée ci-dessus en premier.
Étape 1 — Accéder au panneau d'hébergement et localiser le sélecteur de version concerné, puis appliquer la mise à jour recommandée sans interrompre le service.
Étape 2 — Vérifier l'absence de fichiers suspects et confirmer la bonne application du correctif avant de clore le dossier.
- ✅ Votre rapport débloque : 11 correctifs priorisés
- ✅ Les étapes exactes pour votre hébergeur (OVH, o2switch, cPanel…)
- ✅ Un plan d'action daté, prêt à suivre
Envoyé en 30s · pas de spam · désinscription 1 clic
Analyse et rapport entièrement gratuits. Aucune carte bancaire.
Audit informatif à visée préventive. Les constats « probables » nécessitent une vérification manuelle. ScanMonSite ne saurait être tenu responsable des décisions prises sur la base de ce rapport.