Elementor : fuite de contenus privés jusqu'à la version 4.2.3

En bref

• Produit : Elementor Website Builder, extension pour WordPress
• Versions affectées : toutes les versions jusqu'à la 4.2.3 incluse
• Version corrigée : non précisé par l'éditeur
• Sévérité : moyenne, score CVSS 4,3
• CVE : CVE-2026-11905
• Exploitation active : inconnu
• Date de l'avis : 15 octobre 2026

La base NVD a publié le 15 octobre 2026 la fiche CVE-2026-11905, qui décrit une exposition d'informations sensibles dans Elementor Website Builder, l'un des constructeurs de pages les plus répandus de l'écosystème WordPress. La faille concerne toutes les versions jusqu'à la 4.2.3 incluse. Elle ne permet pas de prendre le contrôle d'un site, mais elle casse le cloisonnement éditorial : un compte à faibles privilèges peut lire des contenus qui ne lui sont pas destinés.

De quoi s'agit-il ?

Selon la description publiée par la NVD, un utilisateur authentifié disposant au moins du rôle contributeur peut extraire le contenu complet des articles privés, des brouillons, des articles en attente de relecture et des articles programmés, quel qu'en soit l'auteur, y compris ceux des administrateurs et des éditeurs. Le mot de passe de protection de ces articles est également exposé en clair.

Concrètement, un contributeur peut donc consulter des textes non publiés (annonces sous embargo, pages en préparation, contenus réservés) et récupérer les mots de passe qui protègent certaines publications. Le score CVSS de 4,3 reflète la nécessité d'un compte connecté et l'absence d'impact sur l'intégrité ou la disponibilité du site. Aucun détail technique d'exploitation n'est repris ici.

Qui est concerné ?

Sont concernés les sites WordPress qui utilisent Elementor dans une version jusqu'à la 4.2.3 incluse. Selon WordPress.org, l'extension compte plusieurs millions d'installations actives.

Le risque est réel surtout pour les sites qui ouvrent des comptes à des tiers : rédactions avec plusieurs auteurs, blogs acceptant des contributeurs externes, sites d'agence où des comptes ont été créés pour des prestataires ou des stagiaires, plateformes qui attribuent automatiquement le rôle contributeur à l'inscription. Un site dont les seuls comptes sont des administrateurs de confiance est nettement moins exposé, sans l'être nul.

Que faire ?

• Vérifier la version d'Elementor installée sur chaque site, puis mettre à jour l'extension dès qu'une version corrigée est disponible : à la date de l'avis, la version corrigée n'est pas précisée par l'éditeur, surveillez le journal des modifications sur WordPress.org.
• En attendant, faire l'inventaire des comptes ayant le rôle contributeur ou supérieur, supprimer ceux qui ne servent plus et désactiver l'inscription ouverte si elle n'est pas nécessaire.
• Changer les mots de passe de protection des articles sensibles, puisqu'ils ont pu être lus.
• Vérifier les journaux d'accès et d'activité pour repérer des consultations inhabituelles de la part de comptes contributeurs.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'incident, puis appliquer la mise à jour avant de remettre le site en ligne.

Sources

• NVD : fiche CVE-2026-11905 (avis de référence)
• Wordfence Threat Intelligence : fiche de la vulnérabilité
• WordPress.org : page officielle de l'extension Elementor