Essential Addons for Elementor : contournement de l'approbation des comptes corrigé en 6.8.7

En bref

• Produit : Essential Addons for Elementor, extension WordPress complémentaire du constructeur de pages Elementor.
• Versions affectées : toutes les versions antérieures à 6.8.7.
• Version corrigée : 6.8.7.
• Sévérité : moyenne, score CVSS 5.3.
• CVE : CVE-2026-110508.
• Exploitation active : inconnu.
• Date de l'avis : 28 octobre 2026.

Une vulnérabilité a été publiée dans l'extension WordPress Essential Addons for Elementor. Elle concerne la gestion des inscriptions d'utilisateurs : lorsque le site exige qu'un administrateur approuve chaque nouveau compte, cette exigence n'est pas appliquée aux comptes créés via le parcours d'inscription par code à usage unique envoyé par e-mail. La faille est corrigée en version 6.8.7.

Concrètement, selon la fiche publiée par la base nationale des vulnérabilités américaine (NVD), un visiteur non authentifié pourrait s'inscrire puis se connecter sans avoir été validé par un administrateur, à condition que les deux fonctionnalités soient activées en même temps. Il s'agit d'un contournement d'une étape de modération, et non d'une prise de contrôle directe du site. Les droits obtenus dépendent du rôle attribué par défaut aux nouveaux inscrits, un point non précisé par l'éditeur.

Qui est concerné ?

Sont concernés les sites WordPress qui utilisent Essential Addons for Elementor dans une version antérieure à 6.8.7 et qui combinent deux réglages :

• l'approbation des nouveaux comptes par un administrateur ;
• l'inscription par code à usage unique envoyé par e-mail.

Si l'un de ces deux réglages est désactivé, le scénario décrit par l'avis ne s'applique pas. Les sites qui n'ouvrent pas l'inscription au public sont également moins exposés. Attention : il s'agit d'une extension tierce, distincte du constructeur Elementor lui-même ; avoir Elementor installé ne suffit pas à être concerné.

Le niveau de sévérité reste moyen, mais les sites qui s'appuient sur la validation manuelle pour filtrer les inscriptions (espaces membres, extranets, communautés, boutiques réservées aux professionnels) ont intérêt à traiter le sujet rapidement, car cette validation est précisément l'étape contournée.

Que faire ?

• Mettre à jour Essential Addons for Elementor vers la version 6.8.7 ou une version ultérieure, idéalement après une sauvegarde complète du site.
• Si la mise à jour ne peut pas être faite tout de suite, désactiver temporairement l'inscription par code à usage unique ou l'inscription publique.
• Passer en revue la liste des utilisateurs : repérer les comptes récents créés sans approbation et supprimer ceux qui ne sont pas légitimes.
• Vérifier les journaux de connexion et d'activité à la recherche d'accès inhabituels depuis ces comptes.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'incident, puis appliquer la mise à jour avant de remettre le site en ligne.

À ce jour, aucune exploitation active n'est signalée dans les sources consultées. La date de mise à disposition du correctif est non précisée par l'éditeur.

Sources

• NVD : fiche CVE-2026-110508
• WPScan : Essential Addons for Elementor