Essential Addons for Elementor : faille d'attribution de rôle corrigée en 6.8.8

En bref

• Produit : Essential Addons for Elementor, extension WordPress.
• Versions affectées : toutes les versions antérieures à 6.8.8, y compris les versions 6.6.0 à 6.8.7 déjà corrigées contre CVE-2026-5193.
• Version corrigée : 6.8.8.
• Sévérité : moyenne, score CVSS 4.2.
• CVE : CVE-2026-110808.
• Exploitation active : inconnu.
• Date de l'avis : 31 octobre 2026.

L'extension WordPress Essential Addons for Elementor, qui ajoute des widgets au constructeur de pages Elementor, présente une faiblesse de contrôle d'accès dans son formulaire d'inscription. Selon l'avis publié par la NVD, l'extension ne restreint pas correctement qui peut définir le rôle attribué aux comptes créés par ce formulaire.

Concrètement, un utilisateur authentifié disposant au minimum du rôle Auteur peut faire en sorte que les nouveaux comptes, y compris ceux créés par des visiteurs non authentifiés via le formulaire public, reçoivent un rôle plus élevé, par exemple Éditeur. Un compte Éditeur peut publier, modifier et supprimer l'ensemble des contenus du site, ce qui élargit nettement les conséquences d'un compte mal intentionné.

Il s'agit d'une correction incomplète de CVE-2026-5193 : le contrôle de validation du rôle introduit en version 6.6.0 peut être contourné par un utilisateur moins privilégié. Les versions 6.6.0 à 6.8.7 restent donc vulnérables, même sur les sites déjà mis à jour à la suite de ce précédent avis.

Qui est concerné ?

Sont concernés les sites WordPress qui utilisent Essential Addons for Elementor dans une version antérieure à 6.8.8. Le risque est le plus élevé lorsque deux conditions sont réunies : le formulaire d'inscription de l'extension est publié sur le site, et des comptes de niveau Auteur ou supérieur existent, par exemple sur un site éditorial à plusieurs contributeurs. Le score CVSS de 4.2 reflète notamment cette exigence d'un accès authentifié préalable.

Attention à ne pas confondre : la faille touche l'extension Essential Addons for Elementor, et non le constructeur Elementor lui-même.

Que faire ?

• Mettre à jour Essential Addons for Elementor vers la version 6.8.8 ou ultérieure, y compris si le site avait déjà appliqué le correctif de CVE-2026-5193.
• Si la mise à jour ne peut pas être faite tout de suite, retirer temporairement le formulaire d'inscription de l'extension des pages publiques.
• Passer en revue la liste des utilisateurs : repérer les comptes récemment créés dotés d'un rôle Éditeur ou supérieur que personne n'a attribué, puis les rétrograder ou les supprimer.
• Vérifier les journaux d'activité et les contenus récemment modifiés ou publiés par ces comptes.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'incident, puis changer les mots de passe des comptes à privilèges.

Aucune exploitation active n'est signalée à ce jour : la vulnérabilité ne figure pas dans le catalogue KEV de la CISA.

Sources

• NVD : CVE-2026-110808 (avis de référence).
• WPScan : fiche de la vulnérabilité (recoupement).