HT Mega Addons for Elementor : faille XSS stockée jusqu'à la 3.2.7

En bref

• Produit : HT Mega Addons for Elementor (extension WordPress, à ne pas confondre avec Elementor lui-même)
• Versions affectées : toutes les versions jusqu'à la 3.2.7 incluse
• Version corrigée : non précisé par l'éditeur
• Sévérité : moyenne, score CVSS 5.4
• CVE : CVE-2026-111318
• Exploitation active : inconnu
• Date de l'avis : 29 octobre 2026

Une vulnérabilité de type cross-site scripting (XSS) stockée, exécutée côté navigateur (DOM), a été publiée le 29 octobre 2026 dans la base NVD pour l'extension HT Mega Addons for Elementor. Elle concerne toutes les versions jusqu'à la 3.2.7 incluse. Selon l'avis, elle résulte d'un nettoyage insuffisant des données saisies et d'un échappement insuffisant à l'affichage dans le widget d'onglets de l'extension.

La faille permettrait à un attaquant non authentifié d'injecter du script dans une page, script qui s'exécute ensuite dans le navigateur des visiteurs de cette page. Son exploitation est toutefois soumise à plusieurs conditions cumulatives, ce qui explique un score CVSS de 5.4, classé en sévérité moyenne.

Qui est concerné ?

Sont concernés les sites WordPress qui utilisent HT Mega Addons for Elementor dans une version jusqu'à la 3.2.7 incluse. D'après l'avis publié dans la NVD, une exploitation réussie suppose en même temps :

• une autre extension installée qui permet de stocker du balisage enrichi, par exemple un module de commentaires comme wpDiscuz avec son éditeur riche activé et une liste de balises autorisées trop permissive ;
• la présence d'un widget Onglets de HT Mega sur la même page que la zone de commentaires ;
• un clic de la victime sur le lien injecté.

Un site qui n'utilise pas le widget Onglets de HT Mega, ou qui n'accepte pas de balisage enrichi dans ses commentaires, est donc nettement moins exposé. La mise à jour reste néanmoins recommandée, car ces configurations se rencontrent sur les sites éditoriaux et les boutiques qui ouvrent les commentaires.

Le constructeur de pages Elementor lui-même n'est pas visé par cet avis : seule l'extension complémentaire HT Mega Addons for Elementor l'est. Aucune exploitation active n'est signalée à ce jour dans le catalogue de la CISA, ce qui ne permet pas pour autant de l'exclure.

Que faire ?

• Vérifier, dans l'administration WordPress, si HT Mega Addons for Elementor est installée et quelle version est active.
• Mettre à jour l'extension dès qu'une version postérieure à la 3.2.7 est proposée ; le numéro de la version corrigée est non précisé par l'éditeur à la date de l'avis.
• En attendant, désactiver l'éditeur riche des commentaires ou restreindre les balises autorisées, et retirer si possible le widget Onglets des pages ouvertes aux commentaires.
• Contrôler les commentaires récents à la recherche de liens inhabituels et vérifier les journaux du site.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'injection, puis appliquer la mise à jour avant de remettre le site en ligne.

Sources

• NVD : CVE-2026-111318 (avis de référence, score et versions affectées)
• Wordfence Threat Intelligence : fiche de la vulnérabilité (recoupement)
• WordPress.org Trac : modification du code de l'extension (recoupement)