Redux Framework : faille d'autorisation jusqu'à 4.5.15, correctif non précisé

En bref

• Produit : Redux Framework, extension WordPress utilisée par de nombreux thèmes et extensions pour gérer leurs pages d'options.
• Versions affectées : toutes les versions jusqu'à 4.5.15 incluse.
• Version corrigée : non précisé par l'éditeur.
• Sévérité : moyenne, score CVSS 6.5.
• CVE : CVE-2026-103997.
• Exploitation active : inconnu.
• Date de l'avis : 31 octobre 2026.

La base NVD a publié le 31 octobre 2026 un avis concernant Redux Framework, un cadre de développement de pages d'options très répandu dans l'écosystème WordPress. La faille relève d'un contournement d'autorisation : l'extension ne vérifie pas correctement qu'un utilisateur a le droit d'accéder à certaines données.

Concrètement, un utilisateur authentifié disposant au minimum du rôle d'abonné peut consulter l'intégralité des options enregistrées via Redux. Selon l'avis, ces options peuvent contenir des valeurs sensibles stockées en clair : mots de passe saisis dans des champs de réglage, clés d'API, clés de licence et identifiants SMTP. Il ne s'agit donc pas d'une prise de contrôle directe du site, mais d'une fuite de secrets qui peut ouvrir la voie à d'autres abus (envoi de courriels via le serveur SMTP, utilisation de services tiers facturés, etc.).

Qui est concerné ?

Tout site WordPress sur lequel Redux Framework est présent en version 4.5.15 ou antérieure. Point important souligné par l'avis : le module en cause est chargé automatiquement pour chaque instance Redux déclarée par un thème ou une extension installés. Un site est donc exposé même si son développeur n'a jamais configuré explicitement cette fonctionnalité.

Le risque est le plus élevé pour les sites qui autorisent l'inscription libre (boutiques en ligne, sites membres, forums, sites de formation) : n'importe quel visiteur peut alors créer le compte d'abonné nécessaire. Les sites sans inscription publique restent concernés si un compte à faibles droits existe ou a été compromis.

Redux Framework est parfois embarqué directement dans un thème ou une extension commerciale, sans apparaître comme une extension distincte dans la liste. Il convient de le vérifier auprès des éditeurs des thèmes et extensions utilisés.

Que faire ?

• Identifier les sites qui utilisent Redux Framework, en tant qu'extension autonome ou intégré à un thème ou à une extension.
• Mettre à jour Redux Framework dès qu'une version corrigée est publiée par l'éditeur ; à la date de l'avis, la version corrigée n'est pas précisée dans la source officielle.
• En attendant, désactiver l'inscription libre si elle n'est pas indispensable et passer en revue les comptes à faibles droits.
• Renouveler par précaution les secrets stockés dans les options Redux : mots de passe SMTP, clés d'API, clés de licence.
• Vérifier les journaux : créations de comptes inhabituelles, connexions d'abonnés inconnus, envois de courriels anormaux, consommation inattendue des services tiers.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'incident, puis changer tous les secrets.

Sources

• NVD : CVE-2026-103997 (avis de référence).
• Wordfence : fiche de la vulnérabilité (recoupement).
• WordPress.org : page de l'extension Redux Framework.