Le fait
Des chercheurs en cybersécurité ont publié des détails sur une faille critique dans le plugin WordPress Elementor Pro qui, si elle est exploitée avec succès, pourrait permettre l’exécution de code à distance. Identifiée sous la référence CVE-2026-32475, la vulnérabilité obtient un score CVSS de 9,0/10 et a été décrite comme un cas de « téléversement non restreint d’un fichier de type dangereux ».
Le contexte
La vulnérabilité se situe, d’après le rapport, dans le module « Forms », au niveau de la gestion des fichiers uploadés via ce composant. Les détails techniques publiés par les chercheurs expliquent que des fichiers potentiellement dangereux (comme des fichiers PHP) pourraient être acceptés sans contrôles suffisants, ouvrant la voie à une exécution de code côté serveur si l’attaquant parvient à téléverser et invoquer tel fichier.
L’impact et les échéances
- Impact : en cas d’exploitation, la faille peut conduire à une exécution de code à distance, compromettant potentiellement l’intégrité et la disponibilité d’un site WordPress.
- Gravité : le score CVSS 9,0 indique une vulnérabilité critique qui nécessite une attention rapide.
- Échéances : le signalement public impose aux administrateurs et équipes de sécurité d’évaluer rapidement leurs installations et d’agir sans délai.
Ce qu’il faut retenir
La faille CVE-2026-32475 dans Elementor Pro permettrait, selon les chercheurs, le téléversement de fichiers dangereux via le module Forms et pourrait mener à une exécution de code à distance. Les administrateurs de sites utilisant ce plugin doivent vérifier l’état de leur installation, rechercher la publication éventuelle d’un correctif et appliquer les mesures nécessaires pour protéger leurs sites.
