NotificationX : injection SQL non authentifiée corrigée en 2.3.12

En bref

• Produit : NotificationX, extension WordPress
• Versions affectées : de la 2.0.0 jusqu'à la 2.3.12 exclue
• Version corrigée : 2.3.12
• Sévérité : élevée, score CVSS 8.2
• CVE : CVE-2022-51021
• Exploitation active : inconnu (la faille ne figure pas au catalogue KEV de la CISA)
• Date de l'avis : 22 octobre 2026 (publication sur la NVD)

La base de vulnérabilités américaine NVD a publié le 22 octobre 2026 la fiche CVE-2022-51021. Elle décrit une injection SQL dans NotificationX, une extension WordPress d'affichage de notifications et de bandeaux. La faille est exploitable à distance, sans compte sur le site, via l'API REST de l'extension. Elle permet de manipuler les requêtes envoyées à la base de données et d'en extraire le contenu.

Bien que la fiche soit récente, la correction existe depuis la version 2.3.12. La NVD précise que des traces d'exploitation ont été relevées pour la première fois par la Shadowserver Foundation le 18 octobre 2023. Cette vulnérabilité n'est toutefois pas inscrite au catalogue KEV de la CISA à la date de l'avis : nous la classons donc en exploitation active « inconnu ».

Qui est concerné ?

Tout site WordPress sur lequel l'extension NotificationX est installée dans une version comprise entre la 2.0.0 et la 2.3.12 exclue. Le risque ne dépend pas de la configuration des comptes utilisateurs : aucune authentification n'est nécessaire pour atteindre le point vulnérable. Une extension désactivée mais toujours présente doit être vérifiée elle aussi, puis supprimée si elle n'est plus utilisée.

Une injection SQL peut exposer l'ensemble des données stockées dans la base du site : comptes utilisateurs et empreintes de mots de passe, contenus non publiés, données de formulaires ou de commandes selon les extensions présentes. Les sites qui n'ont pas été mis à jour depuis longtemps sont les plus exposés, puisque la faille est connue des outils d'analyse automatisée.

Le nombre d'installations actives concernées est non précisé par l'éditeur.

Que faire ?

• Vérifiez la version de NotificationX installée sur chacun de vos sites, depuis la page des extensions de l'administration WordPress.
• Mettez à jour vers la version 2.3.12 ou une version ultérieure. Faites une sauvegarde complète avant l'opération.
• Si l'extension n'est plus utilisée, désactivez-la puis supprimez-la.
• Consultez les journaux du serveur web à la recherche d'appels inhabituels ou répétés vers l'API REST de l'extension, et vérifiez la liste des comptes administrateurs.
• En cas de compromission avérée, restaurez une sauvegarde saine antérieure à l'intrusion, appliquez la mise à jour, puis changez les mots de passe des comptes et les clés de sécurité du site.

Sources

• NVD : fiche CVE-2022-51021 (avis de référence)
• WPScan : NotificationX, injection SQL non authentifiée
• VulnCheck : avis NotificationX
• Page de l'extension NotificationX sur WordPress.org