News Kit Addons For Elementor : faille XSS stockée, correctif non précisé

En bref

• Produit : News Kit Addons For Elementor, extension pour WordPress (à ne pas confondre avec le constructeur de pages Elementor lui-même).
• Versions affectées : toutes les versions jusqu'à la 1.4.8 incluse.
• Version corrigée : non précisé par l'éditeur.
• Sévérité : moyenne, score CVSS 6.4.
• CVE : CVE-2026-120524.
• Exploitation active : inconnu.
• Date de l'avis : 3 novembre 2026.

La base NVD a publié le 3 novembre 2026 un avis concernant l'extension WordPress News Kit Addons For Elementor, qui ajoute des widgets d'actualité au constructeur Elementor. La faille, référencée CVE-2026-120524, est de type Cross-Site Scripting stocké (XSS stocké).

Selon l'avis, la vulnérabilité provient d'un filtrage insuffisant des données reçues et d'un échappement insuffisant à l'affichage. Deux défauts de l'extension se combinent : des éléments réservés à l'administration de l'extension sont chargés sur des écrans du tableau de bord accessibles à de simples abonnés, et le nettoyage des données envoyées intervient trop tôt pour être efficace. Résultat : un utilisateur connecté peut modifier le contenu Elementor de n'importe quelle publication et y insérer des scripts.

Le code injecté est enregistré dans la page. Il s'exécute ensuite dans le navigateur de chaque personne qui consulte la page piégée, y compris un administrateur connecté. Ce type de faille sert classiquement à rediriger les visiteurs, à afficher du contenu frauduleux ou à agir avec les droits de la personne qui consulte la page.

Qui est concerné ?

Sont concernés les sites WordPress sur lesquels l'extension News Kit Addons For Elementor est installée et active, dans une version jusqu'à la 1.4.8 incluse.

Le risque est nettement plus élevé si le site autorise l'inscription publique de comptes (rôle abonné par défaut), comme c'est fréquent sur les sites de presse, les boutiques ou les espaces membres : l'avis précise qu'un accès de niveau abonné suffit. Un site sans inscription ouverte reste exposé si un compte existant est compromis.

Les sites qui utilisent Elementor sans cette extension complémentaire ne sont pas visés par cet avis.

Que faire ?

• Vérifier dans le tableau de bord si l'extension News Kit Addons For Elementor est installée et relever sa version.
• Mettre à jour l'extension dès qu'une version corrigée est proposée ; à la date de l'avis, la version corrigée n'est pas précisée par l'éditeur.
• En attendant, si l'extension n'est pas indispensable, la désactiver ; sinon, fermer temporairement l'inscription publique et passer en revue les comptes de niveau abonné.
• Vérifier les journaux et le contenu des pages construites avec Elementor : modifications récentes inattendues, scripts ou redirections inconnus.
• En cas de compromission, restaurer une sauvegarde saine antérieure à l'injection, puis changer les mots de passe des comptes administrateurs.

Sources

• NVD : fiche CVE-2026-120524 (avis de référence).
• Wordfence Threat Intelligence : fiche de la vulnérabilité (recoupement).