Essential Addons for Elementor : élévation de privilèges, correctif non précisé

En bref

• Produit : Essential Addons for Elementor (extension WordPress, distincte d'Elementor lui-même)
• Versions affectées : toutes les versions jusqu'à 6.8.7 incluse
• Version corrigée : non précisé par l'éditeur
• Sévérité : élevée, score CVSS 7.4
• CVE : CVE-2026-118205
• Exploitation active : inconnu
• Date de l'avis : 30 octobre 2026

Une vulnérabilité d'élévation de privilèges a été publiée le 30 octobre 2026 dans la base NVD pour l'extension WordPress Essential Addons for Elementor. Elle permet, sous certaines conditions, à un visiteur non authentifié de créer un compte doté d'un rôle pouvant aller jusqu'à Éditeur. L'avis ne mentionne pas de version corrigée : la prudence s'impose jusqu'à la publication d'un correctif identifié.

De quoi s'agit-il ?

La faille se situe dans le traitement de l'inscription proposé par le widget Login/Register de l'extension. Plusieurs contrôles censés limiter le rôle attribué au nouveau compte peuvent être contournés en s'appuyant sur les révisions de page enregistrées par WordPress. Un attaquant peut alors obtenir un compte Éditeur, avec des droits étendus : modifier les contenus des autres auteurs, publier des pages, téléverser des fichiers et insérer du HTML non filtré.

Ce dernier droit est particulièrement sensible : il permet d'injecter du contenu arbitraire dans les pages du site, ce qui ouvre la voie à la défiguration, à l'hameçonnage ou à l'injection de scripts visant les visiteurs et les administrateurs.

Qui est concerné ?

Sont concernés les sites WordPress qui utilisent Essential Addons for Elementor dans une version allant jusqu'à 6.8.7 incluse. Selon l'avis, l'exploitation suppose deux conditions cumulatives :

• l'option WordPress « Tout le monde peut s'enregistrer » est activée ;
• un administrateur a, à un moment donné, enregistré puis annulé un rôle de nouvel utilisateur différent de celui par défaut sur une page contenant le widget Login/Register.

Un site qui n'autorise pas l'inscription publique, ou qui n'utilise pas ce widget, est donc nettement moins exposé. Les sites qui utilisent uniquement Elementor, sans cette extension tierce, ne sont pas visés par cet avis.

Que faire ?

• Vérifier la version installée d'Essential Addons for Elementor et appliquer la prochaine mise à jour de sécurité dès que l'éditeur la publie, en consultant son journal des modifications.
• En attendant, désactiver l'inscription publique si elle n'est pas indispensable, ou retirer temporairement le widget Login/Register des pages publiques.
• Passer en revue la liste des utilisateurs : tout compte Éditeur récent et inconnu doit être examiné, puis supprimé s'il n'est pas légitime.
• Vérifier les journaux d'accès et d'activité, ainsi que les contenus récemment modifiés ou publiés.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'intrusion, puis renouveler les mots de passe des comptes à privilèges.

À la date de l'avis, aucune exploitation active n'est signalée dans le catalogue de la CISA, mais l'absence d'information ne signifie pas absence de risque : les extensions WordPress très répandues sont des cibles fréquentes.

Sources

• NVD : CVE-2026-118205 (avis de référence)
• Wordfence Threat Intelligence (recoupement)
• Dépôt WordPress.org de l'extension (modification du code associée)