Une vulnérabilité d’Elementor permet de transformer un simple clic d’un administrateur connecté en création d’un nouveau compte administrateur contrôlé par un attaquant. La faille touche uniquement Elementor 4.3.0 et 4.3.1, deux versions installées sur un maximum estimé à deux millions de sites WordPress ; le correctif est disponible dans la version 4.3.2.
Un paramètre dans l’URL suffit à contourner la protection
La faiblesse se situe dans le module Editor Events, chargé de faire transiter certaines données de télémétrie de l’éditeur. Pour ses propres appels, ce composant devait contourner la vérification de sécurité utilisée par l’API REST de WordPress. Le code vérifiait toutefois si la chaîne « elementor/v1/events/ » apparaissait n’importe où dans l’adresse demandée, au lieu de confirmer que la requête visait réellement cette route.
Or l’adresse examinée comprend aussi les paramètres ajoutés après le point d’interrogation. Un attaquant peut donc placer la chaîne attendue dans un paramètre anodin tout en dirigeant la requête vers une autre fonction de l’API. Elementor renvoyait alors un résultat positif avant la vérification du jeton de sécurité de WordPress, ce qui validait à tort l’action.
Sur une installation par défaut, l’attaque peut viser la route de gestion des utilisateurs et créer un compte doté du rôle administrateur. Elle ne donne pas magiquement les droits de la victime à une personne déconnectée : un administrateur déjà authentifié doit ouvrir le lien préparé. Son navigateur joint alors automatiquement les cookies de session et exécute la demande avec ses privilèges.
Pas besoin de JavaScript ni de faux formulaire
Le scénario est d’autant plus simple que le lien n’a pas besoin de contenir du JavaScript, de charger un formulaire ni de renvoyer vers une page hébergée par l’attaquant. Il peut arriver dans un e-mail, une messagerie ou même un commentaire. Cette catégorie de faille s’appelle une falsification de requête intersite, ou CSRF : la victime reste connectée au bon site, mais son navigateur y envoie une action qu’elle n’avait pas l’intention d’effectuer.
Le module concerné est une expérience masquée. Il n’apparaît pas dans l’écran des fonctions expérimentales d’Elementor et s’active par défaut sur les nouveaux sites ayant installé le constructeur à partir de la version 3.32.0. Un site peut donc être vulnérable sans que son administrateur ait choisi d’essayer cette fonction.
Les versions antérieures à 4.3.0 ne contiennent pas ce proxy précis et ne sont pas touchées par cette erreur. Cela ne signifie pas qu’il soit prudent de revenir à une ancienne édition : d’autres vulnérabilités y ont été corrigées. La réponse recommandée consiste à passer directement à Elementor 4.3.2 ou une version ultérieure.
Un correctif publié deux jours après le signalement
Le chercheur Saggre a transmis la faille à Patchstack, qui l’a signalée à l’équipe Elementor le 22 septembre. La version 4.3.2 a été publiée le 24 septembre et vérifie la route REST réellement résolue au lieu de chercher une sous-chaîne dans l’adresse brute. L’avis public est arrivé le 25 septembre, une fois le correctif disponible.
Patchstack attribue à la vulnérabilité l’identifiant CVE-2026-62062 et un score CVSS de 8,8. L’entreprise la classe néanmoins en priorité moyenne dans son propre système, notamment parce que l’exploitation exige une interaction d’un utilisateur privilégié. Aucun élément public fourni dans l’avis ne signale une campagne active au moment de sa publication.
Elementor est annoncé comme actif sur plus de dix millions de sites. L’incident accompagne une période de changements importants pour le CMS, après la sortie de WordPress 7.1 et ses nouveaux outils de mise en page. Il rappelle aussi que les extensions restent un point de contrôle distinct du cœur de WordPress, même face à de nouveaux concurrents comme EmDash, le CMS présenté par Cloudflare.
Après la mise à jour, les administrateurs peuvent vérifier la liste des comptes, rechercher tout nouvel utilisateur inattendu et invalider les sessions suspectes. Le correctif 4.3.2 était déjà disponible avant la divulgation complète du mécanisme, le 25 septembre.
