EWWW Image Optimizer : faille XSS corrigée en 8.9.1

En bref

• Produit : EWWW Image Optimizer, extension WordPress d'optimisation des images.
• Versions affectées : toutes les versions antérieures à 8.9.1, y compris les versions 8.7.4 à 8.9.0 qui contenaient une première correction incomplète.
• Version corrigée : 8.9.1.
• Sévérité : score CVSS non précisé par l'éditeur ni par le NVD à la date de l'avis.
• CVE : CVE-2026-91049.
• Exploitation active : inconnu.
• Date de l'avis : 5 novembre 2026.

De quoi s'agit-il ?

Le NVD a publié le 5 novembre 2026 la fiche CVE-2026-91049 concernant EWWW Image Optimizer, une extension WordPress très répandue d'après sa page sur le répertoire officiel. La vulnérabilité est de type cross-site scripting (XSS) stocké : l'extension ne filtre et ne restreint pas correctement une valeur présente dans le contenu des publications avant de s'en servir pour charger un script dans la page.

Concrètement, un utilisateur authentifié disposant au minimum du rôle « Auteur » peut insérer un script qui s'exécutera dans la session de toute personne consultant la page concernée, administrateurs compris. Lorsque la victime est un administrateur, ce type de faille peut servir à agir avec ses droits sur le site.

Il s'agit d'une correction incomplète d'une vulnérabilité antérieure, CVE-2026-15446. Les restrictions d'origine et de chemin ajoutées à partir de la version 8.7.4 pouvaient chacune être contournées : les versions 8.7.4 à 8.9.0 restent donc vulnérables, même si elles ont été installées pour corriger la première faille.

Qui est concerné ?

Sont concernés tous les sites WordPress sur lesquels EWWW Image Optimizer est installé dans une version antérieure à 8.9.1. Le risque est le plus élevé pour les sites qui ouvrent des comptes de rédaction à plusieurs personnes : rédactions multi-auteurs, sites d'agence où des clients ou des prestataires publient eux-mêmes, blogs collaboratifs. Un site où seul l'administrateur publie est moins exposé, mais un compte d'auteur compromis suffit à exploiter la faille.

Le score de sévérité n'est pas encore publié et aucune exploitation active n'est signalée à ce jour dans le catalogue de la CISA. Ces éléments peuvent évoluer dans les prochains jours.

Que faire ?

• Mettre à jour EWWW Image Optimizer vers la version 8.9.1 ou une version ultérieure, sur chaque site concerné, y compris les préproductions accessibles en ligne.
• Ne pas considérer une version 8.7.4 à 8.9.0 comme sûre : elle doit aussi être mise à jour.
• Passer en revue les comptes disposant du rôle Auteur ou supérieur et supprimer ceux qui ne sont plus utilisés.
• Vérifier les journaux et les publications récemment modifiées par des comptes non administrateurs, à la recherche de contenus ou de scripts inattendus.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'incident, puis changer les mots de passe des comptes administrateurs.

Les contrôles de sécurité WordPress de Sentinelo croisent les données de WPScan.

Sources

• NVD : fiche CVE-2026-91049 (avis de référence).
• WPScan : fiche de la vulnérabilité (recoupement).
• WordPress.org : page de l'extension EWWW Image Optimizer.