Les plugins d'administration ne vérifie pas qu'on est bien en admin.
Du coup, depuis l'espace contributeur, on peut appeller des urls qui vont
faire marcher ces plugins. on peut du coup :

• casser la conf
• se donner tous les droits (via le plugin site)
• ...