Dynific Addons for Elementor : contrôle d'accès manquant corrigé en 1.3.1

Une vulnérabilité de contrôle d'accès, référencée CVE-2026-117523, a été publiée le 11 novembre 2026 pour l'extension WordPress Dynific Addons for Elementor, anciennement appelée Anywhere Elementor. Elle concerne toutes les versions antérieures à 1.3.1. Il s'agit d'une extension tierce qui complète Elementor : l'extension Elementor elle-même n'est pas visée par cet avis.

En bref

• Produit : Dynific Addons for Elementor (anciennement Anywhere Elementor), extension WordPress
• Versions affectées : toutes les versions antérieures à 1.3.1
• Version corrigée : 1.3.1
• Sévérité : non précisée par l'éditeur (aucun score CVSS publié à la date de l'avis)
• CVE : CVE-2026-117523
• Exploitation active : inconnu
• Date de l'avis : 11 novembre 2026

De quoi s'agit-il ?

Selon l'avis publié dans la base NVD, l'extension ne vérifiait ni les droits de l'utilisateur ni le jeton de sécurité (nonce) d'une action qui enregistre la configuration de ses modules. Conséquence : n'importe quel utilisateur authentifié, y compris un compte de niveau abonné, pouvait activer ou désactiver les modules de l'extension pour l'ensemble du site.

La faille ne permet pas, d'après l'avis, de prendre le contrôle du site ni de lire des données. Elle peut en revanche modifier le comportement des pages construites avec l'extension : un module désactivé peut faire disparaître des éléments d'affichage, et un module activé sans le vouloir peut exposer des fonctionnalités que l'administrateur avait choisi de ne pas utiliser. Aucun score de sévérité n'a été attribué au moment de la publication, et aucune exploitation active n'est signalée.

Qui est concerné ?

Sont concernés les sites WordPress qui utilisent Dynific Addons for Elementor (ou Anywhere Elementor, son ancien nom) dans une version antérieure à 1.3.1. Le risque est plus élevé sur les sites qui autorisent l'inscription libre des visiteurs, comme les boutiques en ligne, les espaces membres ou les sites communautaires : sur ces sites, n'importe qui peut obtenir un compte abonné.

Les sites qui utilisent uniquement Elementor, sans cette extension complémentaire, ne sont pas concernés par cet avis.

Que faire ?

• Mettre à jour Dynific Addons for Elementor vers la version 1.3.1 ou une version ultérieure, depuis le tableau de bord WordPress ou votre outil de maintenance habituel.
• Vérifier, dans les réglages de l'extension, que les modules actifs correspondent bien à ceux que vous aviez choisis, et rétablir la configuration attendue si besoin.
• Contrôler la liste des comptes utilisateurs et supprimer les inscriptions suspectes ou inutiles.
• Si l'inscription libre n'est pas nécessaire, la désactiver dans les réglages généraux de WordPress.
• Consulter les journaux d'activité disponibles pour repérer des changements de configuration inexpliqués.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'incident, puis appliquer la mise à jour avant de remettre le site en ligne.

Si la mise à jour ne peut pas être appliquée immédiatement, désactiver temporairement l'extension reste la mesure la plus sûre, après avoir vérifié que les pages qui en dépendent restent utilisables.

Sources

• NVD : CVE-2026-117523 (fiche officielle de la vulnérabilité)
• WPScan : avis sur Dynific Addons for Elementor (base de vulnérabilités WordPress)