Duplicator : injection SQL à la restauration corrigée en 5.1.0

En bref

• Produit : extensions WordPress Duplicator et Duplicator Pro
• Versions affectées : toutes les versions antérieures à 5.1.0
• Version corrigée : 5.1.0
• Sévérité : non précisé par l'éditeur (aucun score CVSS publié à ce jour)
• CVE : CVE-2026-115262
• Exploitation active : inconnu
• Date de l'avis : 4 novembre 2026

Une vulnérabilité d'injection SQL a été publiée le 4 novembre 2026 dans Duplicator, l'extension de sauvegarde et de migration très répandue sur WordPress, ainsi que dans sa déclinaison commerciale Duplicator Pro. Elle est référencée CVE-2026-115262 et corrigée dans la version 5.1.0 des deux extensions.

Selon la description publiée par la NVD, le problème se situe dans la phase de restauration d'une sauvegarde. Lorsque le serveur de destination ne dispose pas de l'un des jeux de caractères ou de l'une des collations de la base d'origine, l'extension réécrit ces paramètres de façon trop large : la réécriture ne se limite pas aux instructions de structure de la base. Une valeur enregistrée par un simple abonné dans son propre profil peut alors sortir de son contexte et injecter des instructions SQL dans les données restaurées.

L'attaque n'est donc pas déclenchable à tout moment : elle suppose qu'un compte de niveau abonné ait pu enregistrer une valeur piégée, puis qu'un administrateur restaure la sauvegarde sur un serveur dont la configuration de base de données diffère de celle du site source. C'est précisément le scénario d'une migration vers un nouvel hébergeur.

Qui est concerné ?

Sont concernés les sites WordPress qui utilisent Duplicator ou Duplicator Pro dans une version antérieure à 5.1.0. La version gratuite revendique plus d'un million d'installations actives sur le répertoire officiel WordPress.org.

Le risque est plus élevé pour les sites qui autorisent l'inscription publique (blogs, boutiques, espaces membres), car tout visiteur inscrit peut obtenir le rôle d'abonné. Les agences et les freelances qui utilisent Duplicator pour migrer des sites clients d'un serveur à l'autre doivent aussi être attentifs : une archive produite avec une version vulnérable puis restaurée sur un environnement différent correspond au cas décrit.

La gravité exacte n'a pas encore été chiffrée : aucun score CVSS n'est publié à la date de l'avis, et aucune exploitation active n'est signalée à ce stade.

Que faire ?

• Mettre à jour Duplicator ou Duplicator Pro vers la version 5.1.0 ou ultérieure, sur le site source comme sur le site de destination, avant toute restauration.
• Reporter les migrations prévues tant que la mise à jour n'est pas faite, en particulier vers un serveur dont la configuration de base de données diffère.
• Passer en revue les comptes de niveau abonné, surtout ceux créés récemment ou au profil inhabituel, et désactiver l'inscription publique si elle n'est pas utile.
• Après une restauration récente, vérifier les journaux du serveur et de la base de données, ainsi que la liste des comptes administrateurs, à la recherche de modifications inattendues.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'incident, puis changer les mots de passe et les clés de sécurité du site.

Sources

• NVD : fiche CVE-2026-115262
• WPScan : avis sur la vulnérabilité de Duplicator
• WordPress.org : page officielle de l'extension Duplicator