Redux Framework : faille XSS stockée jusqu'à la version 4.5.15

En bref

• Produit : Redux Framework, extension WordPress.
• Versions affectées : toutes les versions jusqu'à la 4.5.15 incluse.
• Version corrigée : non précisé par l'éditeur dans les sources consultées.
• Sévérité : moyenne, score CVSS 6.4.
• CVE : CVE-2026-102918.
• Exploitation active : inconnu.
• Date de l'avis : 30 octobre 2026.

Une vulnérabilité de type Cross-Site Scripting (XSS) stockée a été publiée le 30 octobre 2026 dans la base NVD pour Redux Framework, un framework d'options très répandu dans les thèmes et extensions WordPress. Elle porte l'identifiant CVE-2026-102918 et un score CVSS de 6.4, soit une sévérité moyenne. Elle requiert un compte authentifié sur le site, mais un simple compte d'abonné suffit.

De quoi s'agit-il ?

D'après la description publiée par le NVD, la faille combine deux défauts :

• un champ de type « multi média » affiche la valeur enregistrée sans l'échapper correctement, ce qui permet d'y glisser du JavaScript ;
• le contrôle des droits appliqué lors de l'enregistrement des champs de profil utilisateur ne porte pas sur l'utilisateur réellement connecté, si bien qu'un abonné peut écrire dans un champ normalement réservé aux administrateurs.

Concrètement, un attaquant disposant d'un compte abonné peut stocker un script dans sa propre fiche de profil. Ce script s'exécute ensuite dans le navigateur d'un administrateur qui consulte ce profil depuis le tableau de bord. Une XSS exécutée dans une session administrateur peut servir à effectuer des actions en son nom, par exemple créer un compte ou modifier des réglages.

Qui est concerné ?

Sont concernés les sites WordPress qui utilisent Redux Framework jusqu'à la version 4.5.15 incluse. Selon la page de l'extension sur WordPress.org, celle-ci compte 900000 installations actives.

Le risque réel est toutefois limité par une condition précisée dans l'avis : la faille ne concerne que les sites où un thème ou une extension déclare un champ « multi média » via l'API Users de Redux, c'est-à-dire dans les profils utilisateurs. Les sites qui autorisent l'inscription publique de membres (boutiques, forums, sites à espace client) sont les plus exposés, puisque n'importe quel visiteur peut alors obtenir un compte d'abonné.

Que faire ?

• Mettre à jour Redux Framework vers la dernière version publiée sur WordPress.org, postérieure à la 4.5.15, et vérifier dans le journal des modifications qu'elle mentionne ce correctif.
• Si Redux est embarqué dans un thème ou une extension tierce, vérifier auprès de son éditeur qu'une mise à jour intégrant le correctif est disponible.
• Faute de correctif, désactiver temporairement l'inscription publique des utilisateurs si elle n'est pas indispensable.
• Examiner les comptes d'abonnés créés récemment et les champs de profil personnalisés pour repérer un contenu suspect.
• Vérifier les journaux d'activité : création de comptes administrateurs, modification inattendue de réglages ou d'extensions.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'incident, puis changer les mots de passe des comptes administrateurs.

Sources

• NVD : fiche CVE-2026-102918
• Wordfence Threat Intelligence : avis sur Redux Framework
• WordPress.org : page de l'extension Redux Framework