Dynific Addons for Elementor : faille XSS stockée corrigée en 1.3.1

En bref

• Produit : Dynific Addons for Elementor (anciennement Anywhere Elementor), extension WordPress
• Versions affectées : toutes les versions antérieures à 1.3.1
• Version corrigée : 1.3.1
• Sévérité : score CVSS non précisé par l'éditeur ; faille de type cross-site scripting (XSS) stockée
• CVE : CVE-2026-117521
• Exploitation active : inconnu
• Date de l'avis : 11 novembre 2026

Une vulnérabilité de type cross-site scripting stockée a été publiée le 11 novembre 2026 dans la base NVD sous l'identifiant CVE-2026-117521. Elle concerne l'extension WordPress Dynific Addons for Elementor, connue auparavant sous le nom Anywhere Elementor. Il s'agit d'une extension tierce qui ajoute des widgets au constructeur de pages Elementor : le constructeur Elementor lui-même n'est pas visé par cet avis.

D'après la description publiée, l'un des widgets Elementor fournis par l'extension affiche une valeur de profil contrôlée par l'utilisateur sans l'échapper correctement. Un compte authentifié disposant du rôle Auteur peut ainsi enregistrer un contenu malveillant qui s'exécute ensuite dans le navigateur de toute personne consultant un article rédigé par ce compte, y compris un administrateur. Dans la session d'un administrateur, ce type de script peut servir à agir avec ses droits sur le site.

Qui est concerné ?

Sont concernés les sites WordPress sur lesquels l'extension Dynific Addons for Elementor (ou Anywhere Elementor) est installée dans une version antérieure à 1.3.1. Le risque est plus élevé lorsque le site ouvre des comptes avec le rôle Auteur à des personnes extérieures à l'équipe : rédacteurs invités, prestataires, contributeurs occasionnels, ou comptes dont les identifiants pourraient avoir été compromis.

Un site qui utilise uniquement Elementor, sans cette extension, n'est pas concerné par cet avis. Pour le vérifier, consultez la liste des extensions installées dans l'administration WordPress et recherchez le nom Dynific Addons for Elementor ou Anywhere Elementor.

Le score CVSS n'est pas précisé par l'éditeur à ce stade, et aucune exploitation active n'est signalée dans le catalogue de la CISA à la date de l'avis.

Que faire ?

• Mettre à jour l'extension Dynific Addons for Elementor vers la version 1.3.1 ou une version ultérieure, depuis l'administration WordPress ou votre outil de gestion de parc.
• Passer en revue les comptes disposant du rôle Auteur ou supérieur : supprimer ceux qui ne sont plus utilisés et réinitialiser les mots de passe en cas de doute.
• Vérifier les journaux d'activité et les profils utilisateurs à la recherche de modifications inhabituelles, ainsi que la liste des administrateurs pour détecter un compte ajouté sans raison.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'incident, puis appliquer la mise à jour avant de remettre le site en ligne et changer les mots de passe des comptes à privilèges.
• Si la mise à jour ne peut pas être appliquée immédiatement, désactiver temporairement l'extension ou restreindre les comptes Auteur jusqu'à la correction.

Pour les agences qui maintiennent plusieurs sites clients, il est utile de rechercher cette extension sur l'ensemble du parc, car elle peut avoir été installée sous son ancien nom.

Sources

• NVD : CVE-2026-117521
• WPScan : fiche de la vulnérabilité Dynific Addons for Elementor