Duplicator : fuite des chemins du serveur corrigée en 5.1.0

Une vulnérabilité de divulgation d'informations, référencée CVE-2026-112244, touche l'extension WordPress Duplicator ainsi que sa déclinaison Duplicator Pro. Elle permet à un visiteur non authentifié d'obtenir les chemins absolus des fichiers sur le serveur. Le problème est corrigé dans la version 5.1.0.

En bref

• Produit : Duplicator et Duplicator Pro (extensions WordPress de sauvegarde et de migration)
• Versions affectées : toutes les versions antérieures à 5.1.0
• Version corrigée : 5.1.0
• Sévérité : non précisée par l'éditeur (aucun score CVSS publié à ce jour)
• CVE : CVE-2026-112244
• Exploitation active : inconnu
• Date de l'avis : 4 novembre 2026

De quoi s'agit-il ?

Selon la fiche publiée par le NVD, l'extension n'empêche pas l'accès direct à certains des fichiers PHP qu'elle embarque. Appelés hors de leur contexte normal, ces fichiers provoquent une erreur fatale et renvoient une trace d'exécution qui révèle les chemins absolus du système de fichiers du serveur. Aucune authentification n'est nécessaire pour obtenir cette réponse.

Cette faille ne permet pas, à elle seule, de prendre le contrôle d'un site. Elle relève de la fuite d'informations : connaître l'arborescence exacte du serveur aide un attaquant à préparer d'autres attaques, par exemple en ciblant plus précisément une autre vulnérabilité. Elle mérite donc d'être corrigée rapidement, même si sa gravité n'a pas encore été évaluée officiellement.

Qui est concerné ?

Tous les sites WordPress qui utilisent Duplicator ou Duplicator Pro dans une version antérieure à 5.1.0. D'après la page de l'extension sur WordPress.org, Duplicator compte plus d'un million d'installations actives, ce qui en fait l'une des extensions de sauvegarde les plus répandues.

Les agences et freelances qui maintiennent plusieurs sites clients ont intérêt à vérifier l'ensemble de leur parc : cette extension est souvent installée pour une migration ponctuelle, puis oubliée et jamais mise à jour.

Que faire ?

• Mettre à jour Duplicator ou Duplicator Pro vers la version 5.1.0 ou une version ultérieure, depuis le tableau de bord WordPress ou votre outil de gestion de parc.
• Si l'extension ne sert plus (migration terminée), la désactiver puis la supprimer : une extension inutilisée reste une surface d'attaque.
• Désactiver l'affichage des erreurs PHP en production, afin qu'aucune trace d'exécution ne soit renvoyée aux visiteurs.
• Vérifier les journaux d'accès du serveur à la recherche d'appels inhabituels vers les fichiers de l'extension.
• En cas de signe de compromission, restaurer une sauvegarde saine antérieure à l'incident, puis appliquer la mise à jour avant de remettre le site en ligne.

Sources

• NVD : fiche CVE-2026-112244 (avis de référence)
• WPScan : fiche de la vulnérabilité
• WordPress.org : page de l'extension Duplicator