Widget Options : faille d'injection de code (CVE-2026-116615), version corrigée non précisée

En bref

• Produit : Widget Options – Advanced Conditional Visibility for Gutenberg Blocks & Classic Widgets, plugin WordPress (environ 100 000 installations actives selon WordPress.org)
• Versions affectées : toutes les versions jusqu'à la 4.2.6.1 incluse
• Version corrigée : non précisé par l'éditeur
• Sévérité : élevée, score CVSS 8.8
• CVE : CVE-2026-116615
• Exploitation active : inconnu
• Date de l'avis : 13 novembre 2026

Le 13 novembre 2026, la base de vulnérabilités américaine NVD a publié l'avis CVE-2026-116615 concernant Widget Options, une extension WordPress qui permet de conditionner l'affichage des widgets et des blocs Gutenberg. La faille est une injection de code : le contenu enregistré par un utilisateur authentifié n'est pas nettoyé de la même manière à l'enregistrement et à l'affichage, ce qui permet de faire évaluer des expressions PHP par le site.

Selon l'avis, ces expressions s'exécutent à chaque affichage d'une page publique, y compris pour les visiteurs non connectés. Elles permettent de déduire des données de configuration du site, comme l'adresse e-mail de l'administrateur ou des réglages enregistrés en base. L'avis précise que l'impact peut aller jusqu'à une exécution de code sans restriction si une autre extension installée élargit la liste des fonctions autorisées par Widget Options.

Qui est concerné ?

Sont concernés tous les sites WordPress qui utilisent Widget Options dans une version inférieure ou égale à la 4.2.6.1. Le risque dépend des comptes ouverts sur le site :

• sur une installation par défaut, le risque vient des comptes ayant le rôle Auteur ou un rôle supérieur ;
• les comptes Contributeur sont aussi concernés lorsqu'un administrateur ou un éditeur publie ensuite le contenu qu'ils ont soumis ;
• les sites multi-auteurs, les blogs ouverts aux contributions externes et les sites dont les comptes rédacteurs sont partagés sont les plus exposés.

Un site sans aucun compte rédacteur autre que les administrateurs de confiance est moins exposé, mais reste à surveiller tant qu'aucune version corrigée n'est identifiée.

Que faire ?

• Vérifiez la version de Widget Options installée sur chacun de vos sites.
• Mettez à jour l'extension dès qu'une version corrigée est publiée sur WordPress.org ; à ce jour, la version corrigée n'est pas précisée par l'éditeur dans les sources consultées.
• En attendant, si l'extension n'est pas indispensable, désactivez-la ; sinon, réduisez au strict nécessaire les comptes Auteur et Contributeur et relisez les contenus soumis avant publication.
• Vérifiez les journaux et l'historique des contenus : publications ou révisions inattendues, comptes rédacteurs récemment créés.
• En cas de compromission, restaurez une sauvegarde saine antérieure à l'incident, puis changez les mots de passe des comptes à privilèges.

Sources

• NVD : fiche CVE-2026-116615 (avis de référence)
• Wordfence Threat Intelligence : fiche de la vulnérabilité
• WordPress.org : page officielle de l'extension Widget Options