Essential Addons for Elementor : fuite de données corrigée en 6.8.7

En bref

• Produit : Essential Addons for Elementor, extension WordPress (à ne pas confondre avec le constructeur de pages Elementor lui-même).
• Versions affectées : toutes les versions antérieures à 6.8.7.
• Version corrigée : 6.8.7.
• Sévérité : moyenne, score CVSS 5.3.
• CVE : CVE-2026-110509.
• Exploitation active : inconnu.
• Date de l'avis : 28 octobre 2026.

Une vulnérabilité de divulgation d'informations a été publiée le 28 octobre 2026 dans la base NVD pour l'extension Essential Addons for Elementor. Elle concerne une fonction de pagination accessible sans authentification, qui ne restreint pas suffisamment les contenus qu'un visiteur peut demander. La correction est disponible dans la version 6.8.7.

Qui est concerné ?

Tout site WordPress sur lequel l'extension Essential Addons for Elementor est installée dans une version antérieure à 6.8.7. Aucun compte n'est requis : un simple visiteur anonyme peut être à l'origine de la fuite.

Selon l'avis, un attaquant pourrait lire le contenu de types de publication non publics et récupérer la valeur de champs personnalisés privés rattachés à des articles publiés. L'impact dépend donc de ce que chaque site stocke dans ces emplacements : notes internes, contenus en préparation, données saisies par des extensions tierces ou informations relatives aux clients. Un site qui n'utilise ni types de publication privés ni champs personnalisés sensibles est moins exposé, mais la mise à jour reste recommandée.

D'après la description publiée, la faille ne permet ni de modifier le site ni d'y exécuter du code : il s'agit d'une fuite de données en lecture, ce que reflète une sévérité moyenne. L'avis ne signale pas d'exploitation active à ce stade, et la vulnérabilité ne figure pas au catalogue KEV de la CISA.

Que faire ?

• Mettre à jour Essential Addons for Elementor vers la version 6.8.7 ou une version ultérieure, depuis le tableau de bord WordPress ou votre outil de gestion de parc.
• Faire l'inventaire des sites qui utilisent l'extension, y compris les préproductions accessibles publiquement.
• Vérifier les journaux d'accès du serveur à la recherche de volumes inhabituels de requêtes anonymes vers les fonctions de pagination de l'extension.
• Recenser les informations sensibles conservées dans des champs personnalisés privés ou des types de publication non publics, et évaluer si leur divulgation imposerait des mesures (renouvellement de clés, information des personnes concernées).
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'incident, puis appliquer la mise à jour avant de remettre le site en ligne.

Si la mise à jour ne peut pas être appliquée immédiatement, désactiver temporairement l'extension supprime l'exposition, au prix des fonctionnalités qu'elle apporte à la mise en page.

Sources

• NVD : CVE-2026-110509 (avis de référence, score et versions).
• WPScan : fiche de la vulnérabilité (recoupement).