Meta Box : faille XSS stockée jusqu'à la version 5.15.2

En bref

• Produit : Meta Box – A Framework for Dynamic Websites, extension WordPress.
• Versions affectées : toutes les versions jusqu'à la 5.15.2 incluse.
• Version corrigée : non précisé par l'éditeur à la date de l'avis.
• Sévérité : moyenne, score CVSS 4.9 selon la NVD.
• CVE : CVE-2026-109216.
• Exploitation active : inconnu.
• Date de l'avis : 29 octobre 2026.

La base nationale des vulnérabilités américaine (NVD) a publié le 29 octobre 2026 la fiche CVE-2026-109216, qui concerne Meta Box, un framework très répandu pour créer des champs personnalisés dans WordPress. D'après sa page officielle sur WordPress.org, l'extension est installée sur un très grand nombre de sites.

Il s'agit d'une faille de type Cross-Site Scripting stocké (XSS). Faute d'un nettoyage suffisant des données saisies et d'un échappement correct à l'affichage, un utilisateur authentifié peut enregistrer du script dans un champ de type « background ». Ce script s'exécute ensuite dans le navigateur de toute personne qui consulte la page concernée, y compris un administrateur.

Qui est concerné ?

Sont concernés les sites WordPress qui utilisent Meta Box dans une version égale ou antérieure à la 5.15.2. Le risque réel est toutefois conditionnel : d'après la NVD, l'exploitation suppose qu'un thème ou une autre extension construite sur Meta Box expose le champ « background » à des utilisateurs peu privilégiés, puis affiche les valeurs enregistrées sans les échapper.

Le niveau de privilège minimal dépend donc de la configuration de ce composant tiers. La démonstration rapportée a été faite avec un simple compte abonné. Les sites qui ouvrent l'inscription au public, les espaces membres, les annuaires ou les formulaires de profil reposant sur Meta Box sont les plus exposés.

Le score de 4.9 traduit une sévérité moyenne : la faille ne permet pas, à elle seule, de prendre le contrôle du serveur, mais un script injecté peut servir à détourner une session ou à agir au nom d'un utilisateur connecté.

Que faire ?

• Mettez à jour Meta Box dès qu'une version postérieure à la 5.15.2 est proposée dans votre tableau de bord ou sur WordPress.org ; le numéro de version corrigée est non précisé par l'éditeur dans l'avis.
• Recensez les thèmes et extensions de votre site qui s'appuient sur Meta Box et vérifiez si des rôles peu privilégiés peuvent modifier un champ « background ».
• En attendant le correctif, limitez l'inscription publique et retirez aux rôles abonné ou contributeur l'accès aux formulaires qui exposent ce champ.
• Vérifiez les journaux d'activité et les contenus récemment modifiés par des comptes à faibles privilèges, ainsi que la liste des comptes administrateurs.
• En cas de compromission avérée, restaurez une sauvegarde saine antérieure à l'incident, puis changez les mots de passe des comptes administrateurs.

Aucune exploitation active n'est signalée à ce jour : la faille ne figure pas au catalogue des vulnérabilités exploitées de la CISA. Cette information peut évoluer et cette alerte sera mise à jour le cas échéant.

Sources

• NVD : fiche CVE-2026-109216 (avis de référence).
• Wordfence Threat Intelligence : fiche de la vulnérabilité (recoupement).
• WordPress.org : page officielle de l'extension Meta Box.