Meta Box : faille XSS stockée jusqu'à la version 5.15.3

En bref

• Produit : Meta Box (extension WordPress, éditeur eLightUp)
• Versions affectées : jusqu'à la 5.15.3 incluse
• Version corrigée : non précisé par l'éditeur
• Sévérité : moyenne (CVSS 6.5)
• CVE : CVE-2026-123472
• Exploitation active : inconnu
• Date de l'avis : 7 novembre 2026

La base de vulnérabilités du NIST (NVD) a publié le 7 novembre 2026 un avis concernant Meta Box, un framework de champs personnalisés très répandu sur WordPress. La faille, référencée CVE-2026-123472, est une vulnérabilité de type cross-site scripting stocké : une donnée insuffisamment neutralisée lors de la génération des pages peut être enregistrée sur le site, puis exécutée dans le navigateur des personnes qui consultent la page concernée.

Le score CVSS attribué est de 6.5, ce qui place la vulnérabilité en sévérité moyenne. À la date de rédaction, aucune exploitation active n'est signalée dans le catalogue de la CISA, et l'avis ne mentionne pas de version corrigée.

Qui est concerné ?

Tous les sites WordPress qui utilisent l'extension Meta Box dans une version allant jusqu'à la 5.15.3 incluse. L'avis ne précise pas de version minimale affectée : toutes les versions antérieures doivent donc être considérées comme vulnérables.

Meta Box sert souvent de socle à d'autres développements : thèmes sur mesure, extensions complémentaires ou champs ajoutés par une agence. Il est donc possible que l'extension soit présente sur un site sans que son propriétaire le sache. Une vérification de la liste des extensions installées, y compris celles qui sont désactivées, est recommandée.

Une faille XSS stockée peut permettre, selon le contexte, de détourner la session d'un utilisateur connecté, de modifier le contenu affiché ou de rediriger les visiteurs. L'impact réel dépend des droits nécessaires pour enregistrer la donnée malveillante, un point que l'avis ne détaille pas.

Que faire ?

• Identifier les sites qui utilisent Meta Box et relever la version installée.
• Mettre à jour l'extension dès qu'une version corrigée est publiée par l'éditeur ; surveiller la page de l'extension sur WordPress.org et l'avis NVD.
• En attendant, limiter les comptes disposant de droits d'édition aux personnes de confiance et désactiver l'extension si elle n'est pas indispensable.
• Vérifier les journaux d'accès et d'administration à la recherche d'activités inhabituelles (création de comptes, modifications de contenu inattendues).
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'incident, puis changer les mots de passe des comptes administrateurs.

Comme la version corrigée n'est pas encore précisée par l'éditeur, cette alerte sera mise à jour lorsque de nouvelles informations seront disponibles dans les sources officielles.

Sources

• NVD : fiche CVE-2026-123472 (avis officiel)
• Patchstack : base de vulnérabilités, fiche Meta Box
• WordPress.org : page de l'extension Meta Box