Dynific Addons for Elementor : exécution de shortcodes sans authentification, correctif non précisé

Une vulnérabilité de sévérité moyenne, référencée CVE-2026-102564, touche l'extension WordPress Dynific Addons for Elementor, anciennement connue sous le nom d'Anywhere Elementor. Elle permet à un attaquant non authentifié de faire exécuter des shortcodes arbitraires par le site. Attention à ne pas confondre cette extension tierce avec le constructeur de pages Elementor lui-même, qui n'est pas visé par cet avis.

En bref

• Produit : Dynific Addons for Elementor (anciennement Anywhere Elementor), extension WordPress
• Versions affectées : toutes les versions jusqu'à la 1.3.0 incluse
• Version corrigée : non précisé par l'éditeur
• Sévérité : moyenne (score CVSS 6.5)
• CVE : CVE-2026-102564
• Exploitation active : inconnu
• Date de l'avis : 7 novembre 2026

De quoi s'agit-il ?

Selon la fiche publiée par le NVD, l'extension expose une action qui ne valide pas correctement une valeur avant de l'interpréter comme un shortcode. Un visiteur non connecté peut ainsi obtenir l'exécution de shortcodes de son choix sur le site. La portée réelle dépend des shortcodes disponibles sur l'installation : plus le site embarque d'extensions qui en déclarent, plus l'impact potentiel est large.

L'exploitation n'est pas possible sur toutes les installations. Elle suppose qu'une publication publique soit affichée via un modèle de l'extension intégrant son widget de commentaires, et que le commentaire de l'attaquant soit visible sur cette page. Cette barrière tombe si l'attaquant dispose déjà d'un commentaire approuvé auparavant, ou si la modération des commentaires est assouplie.

Qui est concerné ?

Sont concernés les sites WordPress sur lesquels Dynific Addons for Elementor est installé dans une version jusqu'à la 1.3.0 incluse. Le risque est le plus élevé pour les sites qui :

• utilisent les modèles de l'extension pour afficher des articles publics avec son widget de commentaires ;
• laissent les commentaires ouverts au public ;
• approuvent automatiquement les commentaires, ou ceux d'auteurs déjà validés une fois.

Les sites qui utilisent uniquement Elementor, sans cette extension complémentaire, ne sont pas concernés par cette alerte.

Que faire ?

• Vérifier si l'extension est installée et active, et relever sa version dans l'administration WordPress.
• Mettre à jour l'extension dès qu'une version corrigée est proposée : l'avis du NVD ne précise pas de version corrigée, il faut donc surveiller la page de l'extension et la fiche Wordfence.
• En attendant, désactiver l'extension si elle n'est pas indispensable, ou retirer son widget de commentaires des modèles publics.
• Resserrer la modération : imposer l'approbation manuelle de chaque commentaire et contrôler les commentaires déjà publiés.
• Vérifier les journaux du serveur et la liste des commentaires à la recherche de contenus inhabituels.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'incident, puis appliquer la mise à jour avant la remise en ligne.

Sources

• NVD : CVE-2026-102564 (avis de référence)
• Wordfence : fiche de la vulnérabilité (recoupement)