Meta Box : faille de contrôle d'accès jusqu'à la 5.15.3

En bref

• Produit : Meta Box – WordPress Custom Fields Framework (extension WordPress, éditeur eLightUp)
• Versions affectées : jusqu'à la 5.15.3 incluse
• Version corrigée : non précisé par l'éditeur
• Sévérité : moyenne, score CVSS 6.5
• CVE : CVE-2026-120836
• Exploitation active : inconnu
• Date de l'avis : 7 novembre 2026

Une vulnérabilité de type « contrôle d'accès manquant » a été publiée le 7 novembre 2026 dans la base NVD pour l'extension Meta Box, un framework de champs personnalisés très répandu sur WordPress. Elle porte l'identifiant CVE-2026-120836 et concerne toutes les versions jusqu'à la 5.15.3. À la date de l'avis, aucune version corrigée n'est mentionnée par les sources consultées.

De quoi s'agit-il ?

D'après la description publiée par la NVD, l'extension ne vérifie pas correctement les autorisations sur au moins une de ses fonctions. Ce type de défaut, classé « Missing Authorization » ou « Broken Access Control », permet à un utilisateur de déclencher une action qui devrait être réservée à un rôle plus élevé. Les sources ne détaillent ni la fonction concernée ni le niveau de compte nécessaire : ces éléments restent non précisés par l'éditeur.

Le score CVSS de 6.5 place la faille en sévérité moyenne. Elle n'est pas inscrite au catalogue des vulnérabilités activement exploitées de la CISA à ce jour, ce qui ne garantit pas l'absence d'exploitation.

Qui est concerné ?

Tous les sites WordPress sur lesquels l'extension Meta Box est installée en version 5.15.3 ou antérieure. Selon sa fiche WordPress.org, l'extension compte 500000 installations actives, ce qui en fait une cible potentiellement attractive.

Les agences et freelances qui maintiennent un parc de sites ont intérêt à recenser rapidement les installations concernées : Meta Box est souvent embarquée par des thèmes ou des développements sur mesure, et peut donc être présente sans figurer parmi les extensions choisies explicitement par le client.

Que faire ?

• Identifier la version de Meta Box installée sur chaque site, depuis l'écran des extensions de l'administration WordPress.
• Surveiller la fiche WordPress.org de l'extension et mettre à jour vers la version corrigée dès sa publication par l'éditeur, après une sauvegarde.
• En attendant, limiter les comptes utilisateurs aux rôles strictement nécessaires et supprimer les comptes inutilisés.
• Si l'extension n'est pas réellement utilisée, la désactiver puis la supprimer.
• Vérifier les journaux d'activité et d'accès à la recherche de modifications inattendues de contenus, de réglages ou de comptes.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'incident, puis changer les mots de passe et les clés de sécurité.

Cette alerte sera mise à jour si l'éditeur publie une version corrigée ou si une exploitation active est confirmée.

Sources

• NVD : fiche CVE-2026-120836 (avis de référence)
• WordPress.org : fiche de l'extension Meta Box
• Patchstack : avis sur Meta Box (contrôle d'accès défaillant)