Redux Framework : faille XSS stockée, version corrigée non précisée

En bref

• Produit : Redux Framework, extension pour WordPress
• Versions affectées : toutes les versions selon le NVD, sans borne précisée par l'éditeur
• Version corrigée : non précisée par l'éditeur
• Sévérité : moyenne, score CVSS 6.4
• CVE : CVE-2026-104812
• Exploitation active : inconnu
• Date de l'avis : 5 novembre 2026

Le NVD a publié le 5 novembre 2026 un avis concernant l'extension WordPress Redux Framework, un framework d'options utilisé par de nombreux thèmes et extensions pour construire leurs pages de réglages. La vulnérabilité, référencée CVE-2026-104812, est de type Cross-Site Scripting stocké (XSS stocké).

Selon l'avis, le défaut vient d'un nettoyage incomplet des données saisies dans un type de champ dédié aux médias multiples, combiné à un échappement insuffisant au moment de l'affichage. Un attaquant authentifié peut ainsi enregistrer du script qui sera ensuite exécuté dans le navigateur de toute personne consultant la page concernée. Le point notable est le niveau d'accès requis : un compte de niveau abonné suffit, soit le rôle le plus bas de WordPress.

Une faille XSS stockée permet typiquement de détourner la session d'un visiteur connecté, d'afficher un contenu trompeur ou de rediriger vers un site tiers. Si la victime est un administrateur, les conséquences peuvent aller jusqu'à la prise de contrôle du site.

Qui est concerné ?

Sont concernés les sites WordPress sur lesquels Redux Framework est installé et actif, que l'extension ait été ajoutée directement ou embarquée par un thème ou une autre extension. WordPress.org indique environ 900000 installations actives de l'extension, ce qui en fait une dépendance très répandue.

Le risque est le plus élevé pour les sites qui autorisent l'inscription publique (boutiques, forums, sites membres, espaces clients), puisque n'importe quel visiteur peut alors obtenir un compte abonné. Les sites sans inscription ouverte restent exposés si un compte de faible niveau est compromis.

À la date de l'avis, aucune exploitation active n'est signalée par la CISA ; l'avis ne précise pas non plus de version corrigée. Une modification du code de l'extension a été publiée sur le dépôt WordPress.org, mais la version qui l'embarque n'est pas précisée par l'éditeur.

Que faire ?

• Recenser les sites qui utilisent Redux Framework, y compris lorsqu'il est fourni par un thème.
• Mettre à jour l'extension vers la version corrigée dès sa publication, en vérifiant le journal des modifications sur WordPress.org.
• En attendant, fermer l'inscription publique si elle n'est pas indispensable et supprimer les comptes abonnés inconnus ou inactifs.
• Vérifier les journaux d'accès et d'activité à la recherche de créations de comptes ou de modifications de réglages suspectes.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'incident, puis changer les mots de passe des comptes administrateurs.

Sources

• NVD : fiche CVE-2026-104812
• Wordfence : fiche de la vulnérabilité
• WordPress.org : page de l'extension Redux Framework
• WordPress.org Trac : modification du code de l'extension