Duplicator : faille XSS réfléchie corrigée en 5.1.0

En bref

• Produit : Duplicator (extension WordPress de sauvegarde et de migration), ainsi que sa déclinaison Duplicator Pro
• Versions affectées : toutes les versions antérieures à 5.1.0
• Version corrigée : 5.1.0
• Sévérité : score CVSS non précisé par l'éditeur à la date de l'avis
• CVE : CVE-2026-112243
• Exploitation active : inconnu
• Date de l'avis : 4 novembre 2026

Une vulnérabilité de type Cross-Site Scripting réfléchi (XSS) a été publiée le 4 novembre 2026 dans la base NVD pour l'extension WordPress Duplicator et pour Duplicator Pro. Elle est référencée sous l'identifiant CVE-2026-112243 et corrigée dans la version 5.1.0 des deux extensions.

Selon l'avis, l'extension ne nettoie pas et n'échappe pas correctement une donnée reçue avant de l'afficher sur l'une de ses pages d'administration, dans certaines configurations. Un attaquant qui parvient à faire ouvrir un lien piégé à un administrateur connecté peut ainsi faire exécuter du script dans la session de celui-ci. Ce type de faille suppose donc une action de la victime : elle ne permet pas, à elle seule, une prise de contrôle sans interaction.

Les conséquences d'un script exécuté dans une session d'administrateur peuvent néanmoins être sérieuses : actions effectuées au nom de l'administrateur, modification de réglages ou création de comptes, selon ce que permet la session ouverte. Aucun score de sévérité n'avait encore été attribué au moment de la publication, et aucune exploitation active n'est signalée à ce jour.

Qui est concerné ?

Sont concernés tous les sites WordPress qui utilisent l'extension Duplicator ou Duplicator Pro dans une version antérieure à 5.1.0. D'après sa fiche sur WordPress.org, Duplicator compte plus d'un million d'installations actives, ce qui en fait l'une des extensions de sauvegarde et de migration les plus répandues.

Le risque porte avant tout sur les comptes administrateurs, qui ont accès aux pages d'administration de l'extension. Les sites gérés par plusieurs administrateurs, ou dont les administrateurs reçoivent beaucoup de liens externes (messagerie, formulaires de contact, tickets), sont plus exposés au scénario du lien piégé. Le détail des configurations vulnérables est non précisé par l'éditeur.

Que faire ?

• Mettre à jour Duplicator ou Duplicator Pro vers la version 5.1.0 ou une version ultérieure, depuis le tableau de bord WordPress ou votre outil de gestion de parc.
• Si la mise à jour ne peut pas être appliquée immédiatement, désactiver temporairement l'extension et éviter d'ouvrir des liens d'origine inconnue pendant une session d'administration.
• Vérifier les journaux d'activité et la liste des comptes administrateurs à la recherche de créations de comptes ou de modifications de réglages inexpliquées.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'incident, puis changer les mots de passe des comptes administrateurs.

Pour les agences qui maintiennent un parc de sites clients, il est utile de recenser rapidement les installations concernées afin de planifier la mise à jour sur l'ensemble du parc.

Sources

• NVD : fiche CVE-2026-112243 (avis de référence)
• WPScan : fiche de la vulnérabilité Duplicator (recoupement)
• WordPress.org : fiche de l'extension Duplicator