PowerPack Addons for Elementor : faille SSRF corrigée en 3.1.3

En bref

• Produit : PowerPack Addons for Elementor: Widgets, Form Styler and Templates (extension WordPress tierce pour Elementor)
• Versions affectées : toutes les versions antérieures à 3.1.3
• Version corrigée : 3.1.3
• Sévérité : score CVSS non précisé par l'éditeur à la date de l'avis ; faille de type SSRF (falsification de requête côté serveur)
• CVE : CVE-2026-110692
• Exploitation active : inconnu
• Date de l'avis : 4 novembre 2026

Une vulnérabilité a été publiée le 4 novembre 2026 dans la base NVD pour l'extension PowerPack Addons for Elementor. Selon l'avis, l'extension ne valide pas une URL fournie par l'utilisateur avant de s'en servir pour une requête HTTP émise par le serveur. Il s'agit d'une faille de type SSRF (Server-Side Request Forgery) : le serveur peut être amené à interroger des adresses qu'il ne devrait pas joindre, y compris des ressources internes ou locales, et la réponse peut être renvoyée à l'auteur de la requête.

Attention à ne pas confondre : la faille concerne l'extension complémentaire PowerPack, et non le constructeur de pages Elementor lui-même.

Qui est concerné ?

Sont concernés les sites WordPress sur lesquels l'extension PowerPack Addons for Elementor est installée dans une version antérieure à 3.1.3.

L'exploitation nécessite un compte authentifié disposant au minimum du rôle de contributeur. Le risque est donc plus élevé pour :

• les sites qui ouvrent l'inscription au public avec un rôle de contributeur ou supérieur ;
• les sites éditoriaux qui comptent de nombreux rédacteurs ou contributeurs externes ;
• les sites hébergés sur une infrastructure où des services internes (interfaces d'administration, services de métadonnées, bases de données) sont joignables depuis le serveur web.

Un site dont les seuls comptes sont des administrateurs de confiance est moins exposé, mais la mise à jour reste nécessaire : un compte compromis suffirait à exploiter la faille.

Que faire ?

• Mettre à jour PowerPack Addons for Elementor vers la version 3.1.3 depuis le tableau de bord WordPress ou votre outil de gestion de parc.
• Passer en revue les comptes ayant le rôle de contributeur ou un rôle supérieur, et supprimer ceux qui ne sont plus utilisés.
• Vérifier les journaux du serveur web à la recherche de requêtes inhabituelles émises par des comptes contributeurs, et les journaux réseau pour des connexions sortantes inattendues depuis le serveur.
• Si l'extension n'est pas utilisée, la désactiver puis la supprimer.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'incident, appliquer la mise à jour, puis renouveler les mots de passe et les clés d'accès aux services internes.

Aucune information n'indique à ce jour une exploitation active de cette faille. Le score de gravité n'a pas encore été attribué par la NVD : cette alerte sera mise à jour si de nouveaux éléments sont publiés.

Sources

• NVD : CVE-2026-110692 (avis de référence)
• WPScan : fiche de la vulnérabilité (recoupement)