Ultimate Member : faille XSS stockée jusqu'à la version 2.14.1

En bref

• Produit : Ultimate Member, extension WordPress de profils, d'inscription, de connexion, d'annuaire de membres et de restriction de contenu
• Versions affectées : toutes les versions jusqu'à la 2.14.1 incluse
• Version corrigée : non précisé par l'éditeur ; l'avis NVD renvoie vers les notes de version 2.14.2 publiées sur le dépôt GitHub de l'extension
• Sévérité : moyenne, score CVSS 6.4
• CVE : CVE-2026-116621
• Exploitation active : inconnu (la faille ne figure pas au catalogue CISA KEV)
• Date de l'avis : 7 novembre 2026

Une vulnérabilité de type Cross-Site Scripting stockée (XSS stockée) a été publiée le 7 novembre 2026 dans la base NVD sous l'identifiant CVE-2026-116621. Elle touche Ultimate Member, une extension WordPress très répandue : la fiche de l'extension sur WordPress.org fait état de 200 000 installations actives. Le score CVSS attribué est de 6.4, soit une sévérité moyenne.

Selon l'avis, la faille provient d'un filtrage insuffisant des données saisies et d'un échappement insuffisant à l'affichage, sur certains champs de profil de type zone de texte. Un attaquant authentifié peut ainsi enregistrer du script qui s'exécutera dans le navigateur des personnes consultant la page concernée.

Qui est concerné ?

Sont concernés tous les sites WordPress qui utilisent Ultimate Member dans une version inférieure ou égale à 2.14.1. Le risque est plus marqué pour les sites qui :

• autorisent l'inscription libre des visiteurs, car un simple compte de niveau abonné suffit à l'attaquant ;
• affichent des pages de profil publiques ou consultées par l'équipe d'administration ;
• utilisent des champs de profil personnalisés de type zone de texte.

L'avis précise qu'une exploitation réussie suppose qu'un utilisateur disposant de droits élevés, par exemple un administrateur, interagisse avec un élément de la page de profil piégée. Le script s'exécute alors avec la session de cette personne, ce qui peut permettre des actions à sa place sur le site. C'est ce scénario qui rend la faille sérieuse malgré son score moyen.

Que faire ?

• Mettre à jour Ultimate Member au-delà de la version 2.14.1, depuis l'administration WordPress ou le dépôt officiel, en vérifiant d'abord qu'une sauvegarde récente existe.
• En attendant la mise à jour, limiter si possible les inscriptions ouvertes et éviter de consulter les profils de comptes inconnus depuis un compte administrateur.
• Vérifier les journaux et la liste des comptes : créations de comptes inhabituelles, modifications de profils suspectes, nouveaux administrateurs non prévus.
• Relire le contenu des champs de profil de type zone de texte à la recherche de contenus anormaux.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'incident, puis appliquer la mise à jour avant de remettre le site en ligne et changer les mots de passe des comptes à privilèges.

Les agences qui maintiennent un parc de sites WordPress ont intérêt à recenser rapidement les installations de cette extension, car elle est souvent utilisée sur des sites communautaires ou d'adhésion où l'inscription est ouverte.

Sources

• NVD : fiche CVE-2026-116621 (avis de référence)
• Wordfence Threat Intelligence : fiche de la vulnérabilité
• GitHub : notes de version 2.14.2 d'Ultimate Member
• WordPress.org : fiche de l'extension Ultimate Member