Redux Framework : faille XSS stockée jusqu'à la version 4.5.16
9 novembre 20263 min de lecturePar Rédaction Sentinelo
En bref
- Produit : Redux Framework, extension WordPress
- Versions affectées : toutes les versions jusqu'à la 4.5.16 incluse
- Version corrigée : non précisé par l'éditeur
- Sévérité : moyenne (score CVSS 6.4)
- CVE : CVE-2026-110534
- Exploitation active : inconnu
- Date de l'avis : 7 novembre 2026
Redux Framework est une bibliothèque d'options utilisée par de nombreux thèmes et extensions WordPress pour construire leurs pages de réglages. Selon sa fiche sur WordPress.org, elle compte plus de 900 000 installations actives. Le NVD a publié le 7 novembre 2026 un avis décrivant une faille de type Cross-Site Scripting stockée (XSS) dans toutes les versions jusqu'à la 4.5.16 incluse.
La faille provient d'un filtrage insuffisant des données saisies et d'un échappement insuffisant à l'affichage. Un attaquant authentifié peut enregistrer du code JavaScript qui s'exécute ensuite dans le navigateur de toute personne consultant la page concernée, y compris un administrateur. Ce type d'attaque peut servir à détourner une session, modifier des réglages ou créer un compte à l'insu du propriétaire du site.
Qui est concerné ?
Sont concernés les sites WordPress qui embarquent Redux Framework dans une version jusqu'à la 4.5.16 incluse, que l'extension soit installée seule ou intégrée à un thème.
Deux conditions limitent toutefois la portée de la faille :
- l'attaquant doit disposer d'un compte sur le site, mais un simple rôle d'abonné suffit ;
- le thème du site doit utiliser le module de schéma de couleurs de Redux sur la page de profil des utilisateurs.
Les sites qui autorisent l'inscription libre (boutiques, sites d'adhérents, forums) sont donc les plus exposés : n'importe quel visiteur peut y obtenir un compte d'abonné. À ce jour, aucune exploitation active n'est signalée dans les sources consultées, ce qui ne permet pas de l'exclure.
Que faire ?
- Repérer tous les sites qui utilisent Redux Framework, y compris lorsque la bibliothèque est fournie par le thème ou par une autre extension.
- Mettre à jour Redux Framework vers la dernière version publiée sur WordPress.org, ainsi que les thèmes qui l'intègrent ; l'éditeur n'a pas encore précisé officiellement la version qui corrige la faille, vérifiez donc le journal des modifications.
- En attendant, désactiver l'inscription libre si elle n'est pas nécessaire et passer en revue les comptes d'abonnés récents.
- Vérifier les journaux d'accès et d'activité à la recherche de modifications de profil inhabituelles ou de comptes administrateurs inconnus.
- En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'incident, puis changer les mots de passe des administrateurs et les clés de sécurité de WordPress.
Sources
Questions fréquentes
Quelles versions de Redux Framework sont vulnérables ?
Toutes les versions jusqu'à la 4.5.16 incluse, selon l'avis du NVD publié le 7 novembre 2026.
Un visiteur anonyme peut-il exploiter cette faille ?
Non. Il faut un compte authentifié sur le site, mais un simple rôle d'abonné suffit. Le thème doit aussi utiliser le module de schéma de couleurs de Redux sur le profil utilisateur.
La faille est-elle exploitée activement ?
Aucune exploitation active n'est signalée dans les sources consultées. La vulnérabilité ne figure pas au catalogue KEV de la CISA.
Pour aller plus loin
Autres alertes
Gardez une longueur d’avance sur les failles de votre parc.
Scanner mon site