Plateforme
wordpress
Composant
elementor
Corrigé dans
3.35.8
La vulnérabilité CVE-2026-1206 affecte le plugin Elementor Website Builder pour WordPress. Elle permet une exposition d'informations sensibles due à une autorisation incorrecte. Un attaquant authentifié avec un accès de niveau contributeur peut lire le contenu de modèles Elementor privés ou en brouillon. Cette faille est présente dans les versions <= 3.35.7 et a été corrigée dans la version 3.35.8.
La vulnérabilité CVE-2026-1206 dans Elementor affecte les sites WordPress utilisant le plugin Elementor Website Builder dans les versions antérieures à 3.35.8. Elle permet à des attaquants authentifiés ayant un accès de contributeur ou supérieur d'accéder au contenu des modèles privés ou brouillons. Cela est dû à une erreur logique dans la fonction isallowedtoreadtemplate(), qui ne vérifie pas correctement les permissions d'édition lorsqu'elle considère les modèles non publiés comme lisibles. L'exposition de ce contenu de modèles pourrait révéler des informations sensibles, telles que des conceptions, du contenu personnalisé et des configurations spécifiques au site, compromettant potentiellement l'intégrité et la confidentialité du site web. Le score CVSS pour cette vulnérabilité est de 4.3, ce qui indique un risque modéré.
Un attaquant disposant d'un accès de contributeur ou supérieur sur un site WordPress vulnérable avec Elementor peut exploiter cette vulnérabilité. L'attaquant peut accéder aux modèles privés ou brouillons via des requêtes HTTP soigneusement élaborées, sans avoir besoin d'une authentification supplémentaire au-delà de ses informations d'identification de contributeur. Cela peut impliquer la manipulation de paramètres dans les URL ou l'envoi de requêtes POST avec des données spécifiques. Une exploitation réussie permettrait à l'attaquant de visualiser le contenu du modèle, ce qui pourrait révéler des informations sensibles ou permettre une modification non autorisée du site web.
Statut de l'Exploit
EPSS
0.03% (percentile 8%)
CISA SSVC
Vecteur CVSS
La solution pour atténuer la CVE-2026-1206 consiste à mettre à jour le plugin Elementor Website Builder à la version 3.35.8 ou supérieure. Cette mise à jour corrige l'erreur logique dans la fonction isallowedtoreadtemplate() et garantit que seuls les utilisateurs disposant des permissions d'édition nécessaires peuvent accéder au contenu des modèles. Il est recommandé d'effectuer cette mise à jour dès que possible pour protéger votre site web contre d'éventuelles attaques. De plus, examinez les permissions des utilisateurs sur votre site WordPress pour vous assurer que seuls les utilisateurs autorisés ont accès aux fonctions de modification sensibles. Les sauvegardes régulières du site web sont également une bonne pratique pour se remettre de tout incident de sécurité.
Mettez à jour vers la version 3.35.8, ou une version corrigée plus récente
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
Elementor est un plugin WordPress populaire qui permet aux utilisateurs de créer et de personnaliser des sites web visuellement, sans nécessiter de connaissances en codage.
Si vous utilisez une version d'Elementor antérieure à 3.35.8, votre site est vulnérable. Vous pouvez vérifier la version d'Elementor dans votre tableau de bord d'administration WordPress, dans la section 'Plugins'.
Si vous ne pouvez pas mettre à jour immédiatement, envisagez de restreindre l'accès des utilisateurs ayant des privilèges de contributeur aux fonctions de modification sensibles.
Il existe des scanners de vulnérabilités WordPress qui peuvent détecter cette vulnérabilité. Consultez votre fournisseur de sécurité web pour plus d'informations.
Le contenu des modèles pourrait être exposé, y compris les conceptions, le texte, les images et les configurations spécifiques au site.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.