Elementor : faille XSS stockée corrigée en 4.3.6

En bref

• Produit : Elementor (extension WordPress, aussi appelée Elementor Website Builder)
• Versions affectées : toutes les versions antérieures à 4.3.6
• Version corrigée : 4.3.6
• Sévérité : score CVSS non précisé par l'éditeur ; vulnérabilité de type XSS stockée nécessitant un compte contributeur ou supérieur
• CVE : CVE-2026-104718
• Exploitation active : inconnu
• Date de l'avis : 9 novembre 2026

Une vulnérabilité de type cross-site scripting (XSS) stockée a été publiée le 9 novembre 2026 dans la base WPScan pour l'extension Elementor. Elle porte l'identifiant CVE-2026-104718 et concerne les versions antérieures à 4.3.6. L'avis indique que la faille passe par l'identifiant d'élément (« Element ID ») géré par le constructeur de pages.

Une faille XSS stockée permet d'enregistrer du contenu malveillant dans le site, contenu qui s'exécute ensuite dans le navigateur des personnes qui consultent la page concernée, y compris des administrateurs connectés. Selon le contexte, cela peut servir à détourner une session, à effectuer des actions au nom d'un administrateur ou à injecter du contenu indésirable sur les pages publiques.

Qui est concerné ?

Sont concernés tous les sites WordPress qui utilisent Elementor dans une version antérieure à 4.3.6. La version d'introduction de la faille est non précisée par l'éditeur : il faut donc considérer toutes les versions antérieures comme potentiellement touchées.

L'exploitation nécessite un compte authentifié disposant au minimum du rôle de contributeur. Le risque est donc plus élevé pour :

• les sites qui ouvrent l'inscription au public avec un rôle de contributeur ou supérieur ;
• les sites éditoriaux à plusieurs rédacteurs, invités ou prestataires externes ;
• les sites dont un compte de contributeur aurait été compromis (mot de passe réutilisé ou divulgué).

Un site sur lequel seuls des administrateurs de confiance disposent d'un compte est moins exposé, mais la mise à jour reste recommandée. Elementor figure parmi les extensions les plus installées du répertoire WordPress.org, ce qui en fait une cible fréquente.

Que faire ?

1. Mettre à jour Elementor vers la version 4.3.6 ou ultérieure, après une sauvegarde récente du site.
2. Passer en revue les comptes utilisateurs : supprimer les comptes inutiles, vérifier les rôles attribués et réinitialiser les mots de passe douteux.
3. Vérifier les journaux et les révisions récentes des pages construites avec Elementor, en particulier celles modifiées par des contributeurs, à la recherche de contenu inattendu.
4. En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'incident, puis appliquer la mise à jour avant de remettre le site en ligne.

Si la mise à jour ne peut pas être appliquée immédiatement, limitez temporairement les comptes disposant du rôle de contributeur ou supérieur aux seules personnes de confiance.

Sources

• WPScan : Elementor < 4.3.6 - Contributor+ Stored XSS via Element ID (avis publié le 9 novembre 2026)
• Page officielle de l'extension Elementor sur WordPress.org