Drag and Drop File Upload for Elementor Forms : suppression de fichiers arbitraire, version corrigée non précisée (CVE-2026-124218)

En bref

• Produit : Drag and Drop File Upload for Elementor Forms, extension WordPress qui ajoute un champ d'envoi de fichiers aux formulaires Elementor (à ne pas confondre avec le constructeur de pages Elementor lui-même).
• Versions affectées : toutes les versions jusqu'à la 1.6.2 incluse.
• Version corrigée : non précisé par l'éditeur à la date de l'avis.
• Sévérité : élevée, score CVSS de 8.2.
• CVE : CVE-2026-124218.
• Exploitation active : inconnu.
• Date de l'avis : 13 novembre 2026.

Une vulnérabilité de suppression de fichiers arbitraire a été publiée le 13 novembre 2026 dans la base NVD pour l'extension WordPress Drag and Drop File Upload for Elementor Forms. Elle provient d'une validation insuffisante des chemins de fichiers lors du nettoyage des fichiers envoyés via un formulaire.

Selon l'avis, un attaquant non authentifié peut supprimer des fichiers arbitraires sur le serveur. La suppression d'un fichier sensible, comme le fichier de configuration de WordPress, peut conduire à une exécution de code à distance : un site privé de sa configuration peut en effet être réinstallé par un tiers. C'est ce qui explique le score élevé, malgré l'absence de vol direct de données décrit dans l'avis.

Qui est concerné ?

Sont concernés les sites WordPress qui utilisent l'extension Drag and Drop File Upload for Elementor Forms dans une version jusqu'à la 1.6.2 incluse. L'avis précise que la faille est atteignable lorsqu'une option de confidentialité de l'extension, qui supprime les fichiers envoyés au lieu de les conserver, est activée. Il décrit ce réglage comme courant sur les sites en production.

Les sites qui utilisent Elementor sans cette extension complémentaire ne sont pas visés par cet avis. Le nombre d'installations actives de l'extension n'est pas précisé par l'éditeur dans les sources consultées.

Aucune exploitation active n'est signalée à ce stade : la vulnérabilité ne figure pas au catalogue des failles exploitées de la CISA. Cela ne garantit pas l'absence de tentatives, d'autant que l'attaque ne requiert aucun compte sur le site.

Que faire ?

• Inventorier les sites qui utilisent l'extension et relever la version installée depuis l'écran des extensions de WordPress.
• Mettre à jour l'extension dès qu'une version postérieure à la 1.6.2 corrigeant la faille est confirmée par l'éditeur ou par la fiche Wordfence ; consulter le journal des modifications avant d'appliquer la mise à jour.
• En attendant, si l'extension n'est pas indispensable, la désactiver ; sinon, envisager de désactiver temporairement l'option de confidentialité qui déclenche la suppression des fichiers envoyés, en tenant compte de l'impact sur vos obligations de conservation des données.
• Vérifier les journaux du serveur web à la recherche de requêtes inhabituelles visant les formulaires, et contrôler la présence des fichiers essentiels de WordPress.
• En cas de compromission ou de fichier manquant, restaurer une sauvegarde saine antérieure à l'incident, puis changer les mots de passe et les clés de sécurité du site.

Ces mesures valent pour tout parc de sites : une faille exploitable sans authentification sur une extension de formulaire mérite d'être traitée en priorité, avant les mises à jour de confort.

Sources

• NVD : fiche CVE-2026-124218 (avis de référence, score et versions affectées).
• Wordfence Threat Intelligence : fiche de la vulnérabilité (recoupement).