Dynific Addons for Elementor : fuite de contenus privés corrigée en 1.3.1

En bref

• Produit : Dynific Addons for Elementor (anciennement Anywhere Elementor), extension WordPress distincte du constructeur Elementor.
• Versions affectées : toutes les versions antérieures à 1.3.1.
• Version corrigée : 1.3.1.
• Sévérité : score CVSS non précisé par l'éditeur ; impact sur la confidentialité des contenus.
• CVE : CVE-2026-117524.
• Exploitation active : inconnu.
• Date de l'avis : 11 novembre 2026.

Une vulnérabilité de divulgation d'informations a été publiée le 11 novembre 2026 sous l'identifiant CVE-2026-117524. Elle touche l'extension WordPress Dynific Addons for Elementor, connue auparavant sous le nom Anywhere Elementor. Selon la fiche NVD, l'extension ne vérifie ni le statut d'une publication ni les droits de l'utilisateur lorsqu'elle résout l'identifiant d'un contenu transmis à l'un de ses codes courts. La correction est disponible en version 1.3.1.

Attention à la confusion de noms : la faille concerne cette extension complémentaire, et non le constructeur de pages Elementor lui-même. Les sources citées ci-dessous ne signalent aucune vulnérabilité dans Elementor dans le cadre de cet avis.

Qui est concerné ?

Sont concernés les sites WordPress sur lesquels Dynific Addons for Elementor (ou Anywhere Elementor) est installé dans une version antérieure à 1.3.1. Le risque dépend de l'organisation des comptes : l'exploitation suppose un utilisateur authentifié disposant au minimum du rôle Contributeur.

Un tel compte peut lire le contenu de publications d'autres utilisateurs qui devraient lui rester inaccessibles : brouillons, publications privées et publications protégées par mot de passe. D'après la même source, un utilisateur ayant le rôle Auteur peut en outre republier ce contenu de façon à le rendre visible par des visiteurs anonymes.

Les sites les plus exposés sont donc ceux qui ouvrent des comptes de rédaction à des personnes extérieures : blogs multi-auteurs, médias, sites associatifs, plateformes acceptant des contributions invitées, ou agences qui donnent un accès éditorial à leurs clients. Un site administré par une seule personne, sans autre compte de rédaction, est nettement moins exposé, mais la mise à jour reste recommandée.

Le score CVSS et une éventuelle exploitation active ne sont pas précisés par l'éditeur à ce jour. La vulnérabilité ne figure pas dans le catalogue des failles exploitées de la CISA.

Que faire ?

• Mettre à jour Dynific Addons for Elementor vers la version 1.3.1 depuis le tableau de bord WordPress, après une sauvegarde.
• Si la mise à jour ne peut pas être faite rapidement, désactiver l'extension et faire le point sur les comptes de rôle Contributeur ou Auteur.
• Supprimer les comptes de rédaction inutilisés et vérifier que chaque rôle attribué correspond à un besoin réel.
• Vérifier les journaux d'activité et les publications récentes des comptes Contributeur et Auteur, à la recherche de contenus reprenant des brouillons ou des pages privées.
• En cas de compromission constatée, retirer les contenus exposés, restaurer une sauvegarde saine et changer les mots de passe des pages protégées concernées.

Sources

• NVD : fiche CVE-2026-117524 (avis de référence).
• WPScan : fiche de la vulnérabilité (source de recoupement).