Redux Framework : faille XSS stockée jusqu'à la version 4.5.16

En bref

• Produit : Redux Framework, extension WordPress (environ 900 000 installations actives selon WordPress.org).
• Versions affectées : toutes les versions jusqu'à la 4.5.16 incluse.
• Version corrigée : non précisé par l'éditeur à la date de l'avis.
• Sévérité : moyenne, score CVSS 6.4.
• CVE : CVE-2026-120533.
• Exploitation active : inconnu.
• Date de l'avis : 5 novembre 2026.

Le 5 novembre 2026, la base de vulnérabilités NVD a publié la fiche CVE-2026-120533. Elle décrit une faille de type Cross-Site Scripting stocké (XSS stocké) dans Redux Framework, un framework d'options très utilisé par les thèmes et extensions WordPress pour construire leurs pages de réglages. Selon l'avis, la faille provient d'un nettoyage insuffisant des données saisies et d'un échappement insuffisant à l'affichage, au niveau des options liées au profil utilisateur.

Concrètement, un attaquant disposant d'un compte authentifié, dès le niveau abonné, peut enregistrer un script qui s'exécutera ensuite dans le navigateur des personnes qui consultent la page concernée. Un tel script peut, par exemple, agir au nom d'un administrateur connecté, rediriger les visiteurs ou modifier l'affichage du site.

Qui est concerné ?

Tous les sites WordPress qui embarquent Redux Framework dans une version jusqu'à la 4.5.16 incluse sont potentiellement exposés. L'extension peut être installée directement, mais elle est aussi souvent intégrée à un thème ou à une extension tierce : il faut donc vérifier les deux cas.

L'avis précise toutefois une condition importante : l'exploitation n'est possible que si le thème a déclaré un champ Redux qui produit du CSS (couleur de lien, bordure ou typographie, par exemple) associé à un sélecteur de sortie. Les sites dont le thème n'utilise pas ce type de champ sont donc moins exposés, mais la vérification demande une lecture technique de la configuration du thème. En pratique, mieux vaut considérer tout site concerné par les versions affectées comme à traiter.

Le risque est plus élevé sur les sites qui autorisent l'inscription libre des visiteurs (boutiques, forums, espaces membres), puisqu'un simple compte abonné suffit.

Que faire ?

• Recenser les sites qui utilisent Redux Framework, directement ou via un thème ou une extension, et relever la version installée.
• Mettre à jour Redux Framework vers une version postérieure à la 4.5.16 dès qu'elle est disponible depuis le répertoire WordPress.org ; si l'extension est embarquée dans un thème, demander la mise à jour à l'éditeur du thème.
• En attendant, désactiver l'inscription libre si elle n'est pas nécessaire et passer en revue les comptes abonnés récemment créés.
• Vérifier les journaux d'activité et les options de profil des utilisateurs à la recherche de modifications inhabituelles.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'incident, puis changer les mots de passe des comptes administrateurs.

Les sites WordPress suivis par Sentinelo font l'objet de contrôles de sécurité croisés avec WPScan, exécutés chaque semaine et à la demande.

Sources

• NVD : fiche CVE-2026-120533 (avis de référence)
• Wordfence Threat Intelligence : Redux Framework (recoupement)
• WordPress.org : page de l'extension Redux Framework