Dynific Addons for Elementor : injection SQL, version corrigée non précisée

En bref

• Produit : Dynific Addons for Elementor, extension tierce pour WordPress (à ne pas confondre avec le constructeur Elementor lui-même, que l'avis ne cite pas comme vulnérable).
• Versions affectées : jusqu'à la version 1.3 incluse.
• Version corrigée : non précisé par l'éditeur.
• Sévérité : moyenne, score CVSS 6.5.
• CVE : CVE-2026-103914.
• Exploitation active : inconnu.
• Date de l'avis : 7 novembre 2026.

La base NVD a publié le 7 novembre 2026 un avis concernant Dynific Addons for Elementor, une extension qui ajoute des fonctionnalités au constructeur de pages Elementor. La faille est une injection SQL : une donnée envoyée par l'utilisateur n'est pas correctement échappée avant d'être intégrée à une requête vers la base de données.

Selon l'avis, un attaquant authentifié peut ajouter ses propres instructions à une requête existante et en tirer des informations sensibles stockées dans la base. Le point d'attention principal est le niveau d'accès requis : un compte de niveau abonné suffit, c'est-à-dire le rôle le plus bas de WordPress.

Qui est concerné ?

Tous les sites WordPress sur lesquels Dynific Addons for Elementor est installé dans une version allant jusqu'à la 1.3 incluse. Le risque est plus élevé pour les sites qui autorisent l'inscription libre des visiteurs (blogs avec comptes lecteurs, sites membres, boutiques avec création de compte client), car n'importe qui peut alors obtenir le rôle d'abonné nécessaire.

Les sites qui utilisent Elementor sans cette extension tierce ne sont pas visés par cet avis. Pour le vérifier, consultez la liste des extensions installées dans l'administration WordPress.

Les agences et les prestataires qui maintiennent plusieurs sites clients ont intérêt à faire cet inventaire sur l'ensemble de leur parc : une extension de ce type est souvent installée lors de la création du site pour un besoin ponctuel, puis oubliée alors qu'elle reste active et exposée.

À la date de rédaction, l'avis n'indique aucune version corrigée, et la faille ne figure pas dans le catalogue des vulnérabilités exploitées de la CISA. Aucune exploitation active n'est donc confirmée par les sources disponibles.

Que faire ?

• Vérifier si Dynific Addons for Elementor est installé et quelle version est active.
• Surveiller la publication d'une version corrigée et l'appliquer dès sa sortie ; en attendant, désactiver l'extension si elle n'est pas indispensable au site.
• Fermer temporairement l'inscription libre des utilisateurs si elle n'est pas nécessaire, et supprimer les comptes inconnus ou inactifs.
• Vérifier les journaux d'accès et d'activité à la recherche de requêtes inhabituelles provenant de comptes abonnés.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'incident, puis changer les mots de passe et les clés de sécurité du site.

Sources

• NVD : CVE-2026-103914 (avis de référence)
• Wordfence Threat Intelligence (recoupement)