Le fait
Des chercheurs en cybersécurité ont dévoilé une faille critique dans le plugin WordPress Elementor Pro qui, si elle est exploitée, pourrait permettre à des attaquants non authentifiés d’uploader des fichiers PHP et d’exécuter du code à distance. La vulnérabilité est référencée sous CVE-2026-32475 et bénéficie d’un score CVSS de 9.0 sur 10.0. Elle a été décrite comme un cas d’« upload non restreint d’un fichier de type dangereux ».
Le contexte
La vulnérabilité se situe dans le module Forms du plugin, dans la gestion des fichiers envoyés via les formulaires. Les détails techniques publiés par les chercheurs indiquent que le mécanisme d’upload n’empêche pas correctement l’envoi de types de fichiers dangereux, ce qui ouvre la porte à l’injection et à l’exécution de code côté serveur.
L’impact et les échéances
Avec un score CVSS de 9.0, la faille est classée critique : une exploitation réussie permettrait une exécution de code à distance (RCE), exposant les sites affectés à la compromission complète, à l’installation de portes dérobées ou à la diffusion de contenus malveillants. Le fait que des attaquants non authentifiés puissent exploiter ce défaut augmente considérablement le risque opérationnel pour les sites utilisant Elementor Pro.
Ce qu’il faut retenir
- Identification : CVE-2026-32475, CVSS 9.0 — upload non restreint d’un fichier dangereux via le module Forms.
- Gravité : critique, possibilité d’exécution de code à distance par un attaquant non authentifié.
- Action recommandée : les administrateurs de sites utilisant Elementor Pro doivent suivre les communications officielles du fournisseur et appliquer les correctifs ou mitigations publiés dès leur disponibilité.
Source : https://thehackernews.com/2026/08/elementor-pro-flaw-could-let.html
