Prime Slider : faille XSS stockée jusqu'à la 4.7.2, correctif non précisé

En bref

• Produit : Prime Slider (extension WordPress d'additifs pour Elementor : sliders, carrousels, WooCommerce)
• Versions affectées : toutes les versions jusqu'à la 4.7.2 incluse
• Version corrigée : non précisé par l'éditeur
• Sévérité : élevée (score CVSS 7,2)
• CVE : CVE-2026-111111
• Exploitation active : inconnu
• Date de l'avis : 28 octobre 2026

Une vulnérabilité de type Cross-Site Scripting (XSS) stockée a été publiée le 28 octobre 2026 dans la base NVD pour l'extension WordPress Prime Slider. Elle touche toutes les versions jusqu'à la 4.7.2 incluse et reçoit un score CVSS de 7,2, soit une sévérité élevée.

Selon l'avis, une validation insuffisante des données saisies et un échappement insuffisant à l'affichage permettent à un attaquant non authentifié d'injecter du script dans des contenus du site. Ce script est enregistré en base de données, puis exécuté dans le navigateur de chaque visiteur qui consulte la page concernée. L'avis précise que le filtrage standard de WordPress neutralise bien le contenu soumis au départ, mais qu'un traitement complémentaire propre à l'extension le rend de nouveau actif.

Une faille XSS stockée exploitable sans compte est particulièrement gênante : le script injecté peut s'exécuter dans la session d'un administrateur connecté qui consulte la page, et servir à détourner sa session, à modifier des contenus ou à rediriger les visiteurs vers des sites tiers.

Qui est concerné ?

Tous les sites WordPress sur lesquels l'extension Prime Slider est installée et active dans une version jusqu'à la 4.7.2 incluse. L'extension s'appuie sur le constructeur de pages Elementor ; les boutiques WooCommerce qui l'utilisent pour leurs carrousels de produits sont concernées au même titre que les sites vitrines.

À la date de publication de l'avis, aucune version corrigée n'est mentionnée par les sources : la version qui corrige la faille est non précisée par l'éditeur. La vulnérabilité ne figure pas au catalogue CISA KEV des failles exploitées, ce qui ne garantit pas qu'aucune attaque n'a eu lieu.

Que faire ?

• Vérifier sur chaque site la présence de Prime Slider et la version installée.
• Mettre à jour l'extension dès qu'une version postérieure à la 4.7.2 corrigeant la faille est publiée sur le répertoire WordPress.org, en contrôlant son journal des modifications.
• En attendant, si l'extension n'est pas indispensable, la désactiver ; sinon, surveiller de près les contenus publiés sur les pages qui l'utilisent.
• Vérifier les journaux du serveur et de WordPress à la recherche de soumissions anonymes inhabituelles, et contrôler les contenus récents enregistrés en base.
• Contrôler la liste des comptes administrateurs et révoquer les sessions en cas de doute.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'injection, puis changer les mots de passe des comptes à privilèges.

Sources

• NVD : fiche CVE-2026-111111 (avis publié le 28 octobre 2026)
• Wordfence : fiche de la vulnérabilité Prime Slider (source de recoupement)