Unlimited Elements for Elementor : faille XSS stockée jusqu'à 2.0.26

Le NVD a publié le 7 novembre 2026 une vulnérabilité de type Cross-Site Scripting (XSS) stockée dans l'extension WordPress Unlimited Elements for Elementor, un module complémentaire du constructeur de pages Elementor. Elle est référencée sous l'identifiant CVE-2026-116558 et notée 7.2 sur l'échelle CVSS. Il ne s'agit pas d'une faille d'Elementor lui-même, mais d'une extension tierce qui s'appuie sur lui.

En bref

• Produit : Unlimited Elements for Elementor (extension WordPress pour Elementor)
• Versions affectées : toutes les versions jusqu'à 2.0.26 incluse
• Version corrigée : non précisé par l'éditeur
• Sévérité : élevée, score CVSS 7.2
• CVE : CVE-2026-116558
• Exploitation active : inconnu
• Date de l'avis : 7 novembre 2026

De quoi s'agit-il ?

D'après l'avis publié par le NVD, l'extension ne filtre et n'échappe pas suffisamment certains contenus issus d'un flux RSS externe avant de les afficher. Un attaquant non authentifié qui contrôle ce flux peut y placer du contenu malveillant qui sera ensuite enregistré et exécuté dans le navigateur des personnes qui consultent la page concernée, y compris les administrateurs du site.

Une faille XSS stockée de ce type peut permettre, selon le contexte, de détourner une session, de modifier l'apparence d'une page ou de rediriger les visiteurs vers un site tiers. Nous ne détaillons volontairement pas le mécanisme technique.

Qui est concerné ?

Sont concernés les sites WordPress qui utilisent Unlimited Elements for Elementor dans une version jusqu'à 2.0.26 incluse. Selon l'avis, l'exploitation suppose qu'un administrateur ait placé sur une page le widget de flux RSS de l'extension et qu'il pointe vers une adresse de flux contrôlée par l'attaquant. Un site qui n'utilise pas ce widget, ou qui ne l'alimente qu'avec des flux de confiance, est donc moins exposé, mais la mise à jour reste recommandée dès qu'elle est disponible.

Les sites qui utilisent seulement Elementor, sans l'extension Unlimited Elements for Elementor, ne sont pas visés par cet avis.

Que faire ?

• Vérifiez dans l'administration de WordPress si l'extension Unlimited Elements for Elementor est installée et quelle est sa version.
• Mettez à jour l'extension dès qu'une version postérieure à 2.0.26 corrigeant la faille est publiée sur la page officielle de l'extension ; la version corrigée n'est pas précisée par l'éditeur à ce stade.
• En attendant, recensez les pages qui utilisent le widget de flux RSS et retirez ou désactivez ceux qui pointent vers des flux que vous ne maîtrisez pas.
• Vérifiez les journaux du serveur et l'activité des comptes administrateurs à la recherche de connexions ou de modifications inhabituelles.
• En cas de compromission avérée, restaurez une sauvegarde saine antérieure à l'incident, puis changez les mots de passe des comptes administrateurs.

Sources

• NVD : fiche CVE-2026-116558 (avis de référence)
• Wordfence Threat Intelligence : fiche de la vulnérabilité
• WordPress.org : page officielle de l'extension Unlimited Elements for Elementor