Elementor : faille XSS réfléchie corrigée en 4.3.6

Une vulnérabilité de type cross-site scripting (XSS) réfléchi a été signalée dans Elementor, le constructeur de pages pour WordPress. Elle porte l'identifiant CVE-2026-109884 et concerne toutes les versions antérieures à 4.3.6. La version 4.3.6 apporte le correctif.

En bref

• Produit : Elementor (extension WordPress)
• Versions affectées : antérieures à 4.3.6
• Version corrigée : 4.3.6
• Sévérité : non précisé par l'éditeur (aucun score CVSS publié dans les sources consultées)
• CVE : CVE-2026-109884
• Exploitation active : inconnu
• Date de l'avis : 4 novembre 2026

De quoi s'agit-il ?

Une faille XSS réfléchie permet, dans certaines conditions, de faire exécuter du code JavaScript dans le navigateur d'une personne qui visite un lien spécialement préparé. Contrairement à une XSS stockée, rien n'est enregistré durablement sur le site : l'attaque repose sur le fait d'amener la victime, souvent un utilisateur connecté, à ouvrir ce lien. Si la victime dispose de droits élevés sur le site, les conséquences peuvent aller au-delà de son propre navigateur, par exemple des actions effectuées en son nom dans l'administration.

Les sources consultées ne détaillent ni le score de gravité, ni la version d'introduction de la faille. L'avis WPScan indique par ailleurs que la vulnérabilité n'a pas encore été vérifiée par son équipe. À ce stade, aucune exploitation active n'est signalée dans le catalogue des vulnérabilités exploitées de la CISA.

Qui est concerné ?

Tout site WordPress sur lequel l'extension Elementor est installée dans une version antérieure à 4.3.6. Elementor fait partie des extensions les plus répandues de l'écosystème WordPress, ce qui élargit mécaniquement le nombre de sites exposés. Les agences et freelances qui maintiennent un parc de sites clients ont intérêt à recenser rapidement les installations concernées, y compris sur les environnements de préproduction souvent oubliés.

Les sites déjà passés en 4.3.6 ne sont pas concernés par cette faille.

Que faire ?

• Mettre à jour Elementor vers la version 4.3.6, depuis le tableau de bord WordPress ou votre outil de gestion de parc.
• Vérifier, après la mise à jour, que la version affichée dans la liste des extensions est bien 4.3.6 sur chaque site.
• Rester prudent avec les liens reçus pointant vers l'administration du site, en particulier pour les comptes administrateurs.
• Consulter les journaux du serveur et de l'administration à la recherche d'activités inhabituelles : création de comptes, changements de rôles, modifications de contenus non prévues.
• En cas de signe de compromission, restaurer une sauvegarde saine antérieure à l'incident, puis appliquer la mise à jour avant de remettre le site en ligne et changer les mots de passe des comptes à privilèges.

Si la mise à jour ne peut pas être appliquée immédiatement, limitez au strict nécessaire le nombre de comptes administrateurs et planifiez la mise à jour au plus vite : aucun autre contournement n'est documenté par les sources.

Sources

• WPScan : Elementor < 4.3.6 - Reflected XSS (avis du 4 novembre 2026)
• Wordfence Threat Intelligence : fiche de la vulnérabilité
• Page officielle de l'extension Elementor sur WordPress.org