Le fait
Des chercheurs en cybersécurité ont publié des détails sur une faille critique du plugin WordPress Elementor Pro qui, si elle était exploitée, pourrait permettre l’exécution de code à distance. La vulnérabilité est référencée CVE-2026-32475 et affiche un score CVSS de 9.0/10.0. Elle a été décrite comme un cas d’« upload non restreint d’un fichier de type dangereux ».
Le contexte
La faiblesse se situe dans le module Forms d’Elementor Pro, au niveau du traitement des fichiers envoyés via le formulaire (la description fournie indique que le problème réside dans le composant « File… »). D’après le signalement, ce défaut de contrôle permettrait à un attaquant non authentifié de téléverser des fichiers malveillants — notamment des fichiers PHP — et d’amener l’exécution de code sur le serveur vulnérable.
L’impact et les échéances
Avec un CVSS de 9.0, la vulnérabilité est classée critique : des sites utilisant Elementor Pro et exposant le module Forms pourraient être compromis si un correctif n’est pas appliqué. Le risque principal est l’exécution distante de code, qui peut conduire à une prise de contrôle du site ou du serveur hébergeant le site.
Ce qu’il faut retenir
- La faille concerne le module Forms d’Elementor Pro et permettrait l’upload d’un fichier de type dangereux (PHP) menant à une exécution de code.
- Identifiée comme CVE-2026-32475 avec un score CVSS de 9.0, elle doit être prise au sérieux par les administrateurs de sites.
- Vérifiez rapidement la disponibilité d’un correctif publié par Elementor, appliquez les mises à jour, et limitez l’exposition des fonctions d’upload de fichiers lorsque c’est possible.
Gardez un suivi des annonces officielles d’Elementor et des bulletins de sécurité pour toute mesure corrective ou atténuation recommandée.
