Enable Media Replace : faille XSS via SVG corrigée en 4.2.3

En bref

• Produit : Enable Media Replace, extension WordPress de remplacement de fichiers dans la médiathèque.
• Versions affectées : toutes les versions antérieures à 4.2.3.
• Version corrigée : 4.2.3.
• Sévérité : non précisé par l'éditeur (aucun score CVSS publié à ce jour).
• CVE : CVE-2026-114431.
• Exploitation active : inconnu.
• Date de l'avis : 4 novembre 2026.

Une vulnérabilité de type script intersite stocké (XSS) a été publiée le 4 novembre 2026 sous l'identifiant CVE-2026-114431. Elle concerne l'extension Enable Media Replace, qui permet de remplacer un fichier existant de la médiathèque WordPress sans changer son adresse. Le correctif est disponible dans la version 4.2.3.

Selon l'avis publié par la NVD, lors d'un remplacement de média, le fichier envoyé ne passe pas par le circuit de téléversement standard de WordPress. Les contrôles qui s'appliquent normalement aux envois, notamment ceux sur lesquels s'appuient les extensions de nettoyage des fichiers SVG, ne sont donc pas exécutés. Un utilisateur authentifié disposant du droit de téléverser des fichiers peut ainsi enregistrer une image SVG contenant du script, qui s'exécute lorsque le fichier est ouvert directement dans le navigateur.

Qui est concerné ?

Selon WordPress.org, l'extension compte environ 600 000 installations actives. Les sites qui utilisent une version antérieure à 4.2.3 sont potentiellement exposés, mais l'avis précise une condition importante : le site doit aussi avoir une extension active qui autorise les fichiers SVG. Sans elle, la fonction de remplacement rejette ces fichiers.

Le risque est plus élevé sur les sites où plusieurs personnes ont un compte capable d'envoyer des médias : rédacteurs, auteurs invités, clients ayant accès à l'administration, ou comptes anciens jamais désactivés. Un script exécuté dans le navigateur d'un administrateur peut servir à agir avec ses droits sur le site.

Aucun score de sévérité n'a été publié à ce jour et la vulnérabilité ne figure pas au catalogue CISA des failles activement exploitées. Cela ne prouve pas l'absence de tentatives : l'exploitation reste, pour l'instant, non précisée par l'éditeur.

Que faire ?

• Mettre à jour Enable Media Replace vers la version 4.2.3 ou ultérieure, depuis l'administration WordPress ou votre outil de gestion de parc.
• Si la mise à jour ne peut pas être faite rapidement, désactiver temporairement l'extension, en particulier si les fichiers SVG sont autorisés sur le site.
• Faire le point sur les comptes autorisés à téléverser des médias et supprimer ceux qui ne sont plus utilisés.
• Vérifier les journaux et la médiathèque à la recherche de fichiers SVG remplacés récemment ou envoyés par des comptes inhabituels.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'incident, puis changer les mots de passe des comptes administrateurs.

Sources

• NVD : CVE-2026-114431 (avis de référence).
• WPScan : fiche de la vulnérabilité (recoupement).
• WordPress.org : page de l'extension Enable Media Replace.