Redux Framework : contournement d'autorisation jusqu'à la 4.5.16
9 novembre 20263 min de lecturePar Rédaction Sentinelo
En bref
- Produit : Redux Framework, extension WordPress utilisée par de nombreux thèmes et extensions pour construire leurs pages d'options.
- Versions affectées : toutes les versions jusqu'à la 4.5.16 incluse.
- Version corrigée : non précisé par l'éditeur.
- Sévérité : moyenne, score CVSS 5.3.
- CVE : CVE-2026-110705.
- Exploitation active : inconnu.
- Date de l'avis : 7 novembre 2026.
La base NVD a publié le 7 novembre 2026 la CVE-2026-110705, qui concerne Redux Framework. Il s'agit d'un contournement d'autorisation : l'extension ne vérifie pas correctement qu'un utilisateur a le droit d'effectuer une action d'export. Un utilisateur authentifié disposant du rôle d'abonné, ou d'un rôle supérieur, peut ainsi exporter l'intégralité de la configuration du panneau d'options Redux, normalement réservée aux administrateurs.
L'enjeu tient au contenu de cette configuration. Selon l'avis, elle peut contenir des clés d'API, des identifiants SMTP, des clés de licence et des jetons d'accès à des services tiers. Une fuite de ces secrets peut ensuite permettre d'abuser de ces services, indépendamment du site lui-même.
Qui est concerné ?
Sont concernés les sites WordPress qui embarquent Redux Framework jusqu'à la version 4.5.16 incluse, que l'extension soit installée seule ou intégrée à un thème ou à une autre extension. La page officielle de l'extension sur WordPress.org fait état d'environ 900 000 installations actives.
La faille n'est toutefois exploitable que sous une condition précise : un thème ou une extension doit activer la fonction d'import/export de Redux sur la page de profil des utilisateurs. Les sites sans cette configuration ne sont pas exposés de la même manière, mais il est difficile de le vérifier soi-même lorsque Redux est embarqué dans un thème. Les sites qui autorisent l'inscription publique de comptes (boutiques, communautés, sites à espace membre) sont les plus exposés, puisque le rôle d'abonné suffit.
Que faire ?
- Mettre à jour Redux Framework, ou le thème ou l'extension qui l'embarque, dès qu'une version postérieure à la 4.5.16 corrigeant la faille est disponible. À la date de l'avis, la version corrigée n'est pas précisée par l'éditeur : surveillez la page de l'extension et le journal des modifications.
- Faire l'inventaire des secrets stockés dans les options Redux (clés d'API, identifiants SMTP, clés de licence, jetons) et les renouveler si le site accepte des inscriptions publiques.
- Vérifier les journaux du serveur et la liste des comptes utilisateurs à la recherche d'inscriptions ou d'activités inhabituelles.
- En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'incident, puis renouveler l'ensemble des secrets.
Sources
Questions fréquentes
Mon site est-il vulnérable s'il utilise Redux Framework ?
Toutes les versions jusqu'à la 4.5.16 incluse sont affectées, mais l'exploitation suppose qu'un thème ou une extension active l'import/export de Redux sur le profil utilisateur. En cas de doute, considérez le site comme exposé.
Quelles données peuvent fuiter ?
La configuration du panneau d'options Redux, qui peut contenir des clés d'API, des identifiants SMTP, des clés de licence et des jetons de services tiers.
La faille est-elle exploitée activement ?
Ce n'est pas établi : la vulnérabilité ne figure pas au catalogue KEV de la CISA à la date de l'avis.
Pour aller plus loin
Autres alertes
Gardez une longueur d’avance sur les failles de votre parc.
Scanner mon site