Ultimate Addons for Elementor Forms : faille critique d'envoi de fichiers corrigée en 1.0.8

Une vulnérabilité critique touche l'extension WordPress Ultimate Addons for Elementor Forms, un module complémentaire du constructeur de pages Elementor. Elle permet à un visiteur non authentifié d'envoyer des fichiers arbitraires sur le serveur, y compris des scripts exécutables, et d'obtenir ainsi l'exécution de code à distance. Un correctif est disponible en version 1.0.8.

En bref

• Produit : Ultimate Addons for Elementor Forms (extension WordPress, distincte d'Elementor lui-même)
• Versions affectées : toutes les versions antérieures à 1.0.8
• Version corrigée : 1.0.8
• Sévérité : critique au vu de la nature de la faille (exécution de code à distance sans authentification) ; score CVSS non précisé par l'éditeur à la date de publication
• CVE : CVE-2026-124814
• Exploitation active : inconnu
• Date de l'avis : 12 novembre 2026

De quoi s'agit-il ?

Selon la fiche publiée par la NVD, l'extension embarque son propre champ d'envoi de fichiers pour les formulaires. Ce champ ne valide pas correctement l'extension des fichiers reçus. Un attaquant n'a pas besoin de compte sur le site : il peut déposer un fichier de son choix, par exemple un script PHP, puis le faire exécuter par le serveur.

Une exécution de code à distance donne en pratique le contrôle du site : modification des pages, ajout de comptes administrateurs, installation d'une porte dérobée, vol des données saisies dans les formulaires ou rebond vers d'autres sites hébergés sur le même serveur. C'est la catégorie de faille la plus grave pour un site WordPress.

À la date de cet article, aucune source consultée ne signale d'exploitation active, et la faille ne figure pas au catalogue des vulnérabilités exploitées de la CISA. Le score CVSS n'a pas encore été attribué. Ces informations peuvent évoluer vite pour une faille de ce type, d'autant que la publication du correctif rend la différence entre versions consultable par tous.

Qui est concerné ?

Sont concernés les sites WordPress sur lesquels l'extension Ultimate Addons for Elementor Forms est installée dans une version antérieure à 1.0.8, en particulier ceux qui affichent un formulaire comportant le champ d'envoi de fichiers fourni par l'extension. Par prudence, considérez comme exposé tout site où l'extension est active, même si vous pensez ne pas utiliser ce champ.

Utiliser Elementor ne suffit pas à être concerné : la faille se trouve dans l'extension complémentaire, pas dans le constructeur de pages. Vérifiez la liste des extensions installées dans l'administration de chaque site, en particulier si vous maintenez un parc de sites clients.

Que faire ?

• Mettre à jour Ultimate Addons for Elementor Forms vers la version 1.0.8 sans attendre, depuis l'administration WordPress ou votre outil de gestion de parc.
• Si la mise à jour est impossible immédiatement, désactiver l'extension ou retirer les formulaires qui proposent l'envoi de fichiers jusqu'à l'application du correctif.
• Inspecter le dossier des fichiers envoyés et le reste de l'arborescence à la recherche de fichiers récents inattendus, notamment des scripts exécutables.
• Examiner les journaux du serveur web et la liste des comptes administrateurs pour repérer toute activité ou création de compte suspecte.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'intrusion, appliquer la mise à jour, puis changer les mots de passe et les clés de sécurité du site.

Sources

• NVD : fiche CVE-2026-124814 (source primaire)
• WPScan : fiche de la vulnérabilité (recoupement)