WPZOOM Addons for Elementor : faille XSS stockée jusqu'à la 1.4.20

En bref

• Produit : WPZOOM Addons for Elementor – Starter Templates & Widgets, extension pour WordPress (module complémentaire du constructeur Elementor, distinct d'Elementor lui-même).
• Versions affectées : toutes les versions jusqu'à la 1.4.20 incluse.
• Version corrigée : non précisé par l'éditeur.
• Sévérité : moyenne, score CVSS 6.4.
• CVE : CVE-2026-126029.
• Exploitation active : inconnu.
• Date de l'avis : 13 novembre 2026.

La base NVD a publié le 13 novembre 2026 un avis concernant l'extension WordPress WPZOOM Addons for Elementor. Il s'agit d'une vulnérabilité de type Cross-Site Scripting stockée (XSS stockée) : un utilisateur authentifié peut enregistrer du script dans le contenu d'une page, script qui s'exécute ensuite dans le navigateur de toute personne qui consulte cette page.

Selon l'avis, la cause est un filtrage insuffisant des données saisies et un échappement insuffisant à l'affichage, dans les liens configurés au sein d'un widget de l'extension. Le score CVSS de 6.4 classe la faille en sévérité moyenne : elle n'est pas exploitable par un visiteur anonyme, mais elle reste sérieuse sur les sites qui ouvrent la rédaction à plusieurs personnes.

Qui est concerné ?

Sont concernés les sites WordPress sur lesquels l'extension WPZOOM Addons for Elementor est installée dans une version jusqu'à la 1.4.20 incluse. Le constructeur Elementor seul n'est pas visé par cet avis : seule l'extension complémentaire de WPZOOM l'est.

L'exploitation demande un compte authentifié disposant au moins du rôle de contributeur. Le risque est donc plus élevé pour :

• les sites qui acceptent des contributeurs externes (blogs multi-auteurs, rédactions, sites associatifs) ;
• les sites où des comptes anciens ou peu utilisés n'ont jamais été désactivés ;
• les sites dont un mot de passe de contributeur a pu fuiter.

Un script injecté de cette manière peut s'exécuter dans la session d'un administrateur qui consulte la page piégée, ce qui peut ouvrir la voie à d'autres actions sur le site.

À la date de l'avis, aucune exploitation active n'est signalée par la CISA ; cela ne permet pas d'exclure des tentatives.

Que faire ?

• Vérifier si l'extension WPZOOM Addons for Elementor est installée et quelle version est en service.
• Mettre à jour l'extension dès qu'une version postérieure à la 1.4.20 est proposée, après avoir consulté le journal des versions sur WordPress.org ; l'avis ne précise pas encore de version corrigée.
• En attendant, si l'extension n'est pas indispensable, la désactiver ; sinon, limiter les comptes de rôle contributeur ou supérieur aux personnes de confiance et supprimer les comptes inutilisés.
• Vérifier les journaux d'activité et les révisions récentes des pages construites avec les widgets de l'extension, à la recherche de modifications inattendues ou de comptes créés sans raison.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'incident, puis changer les mots de passe des comptes à privilèges.

Sources

• NVD : fiche CVE-2026-126029 (avis de référence, score et versions affectées).
• Wordfence Threat Intelligence : fiche de la vulnérabilité.
• WordPress.org : page de l'extension et journal des versions.