CVE-2026-110510

Les versions d'Essential Addons for Elementor antérieures à la 6.8.7 constituent un plugin WordPress utilisé pour étendre les capacités de conception du constructeur de pages Elementor. Une faille a été identifiée car le plugin ne nettoie pas correctement les paramètres des balises HTML de certains widgets avant de les afficher sur une page. Cela permet à un utilisateur de contourner les restrictions prévues et d'injecter des éléments HTML non autorisés, tels que des iframes ou des formulaires, dans le balisage du site.

Un attaquant disposant de permissions de niveau « auteur » ou supérieur peut utiliser cette faille pour intégrer du contenu malveillant ou des formulaires de phishing sur des pages publiées, compromettant potentiellement la confidentialité et l'intégrité des données des visiteurs. L'exploitation de cette vulnérabilité nécessite une authentification de haut niveau ainsi qu'une certaine interaction de la part de l'utilisateur pour être efficace. Comme elle requiert un compte privilégié existant, le risque pour la plupart des administrateurs de serveurs est faible, à moins qu'ils n'accordent la confiance de la création de contenu à plusieurs contributeurs.