CVE-2026-3425
Publiée le 2026-05-13 · Dernière modification le 2026-06-17
Les sites WordPress utilisant l'extension RTMKit Addons for Elementor (version 2.0.2 et versions antérieures) sont vulnérables à une faille d'inclusion de fichier local. Un attaquant disposant d'un compte de niveau Auteur ou supérieur peut exploiter cette faille pour inclure et exécuter des fichiers PHP arbitraires sur votre serveur, ce qui pourrait mener à une compromission complète du système. L'attaque est facile à exécuter via le réseau et ne nécessite aucune interaction de l'utilisateur, bien qu'elle nécessite que l'attaquant possède déjà un accès authentifié à votre tableau de bord WordPress.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The RTMKit Addons for Elementor plugin for WordPress is vulnerable to Local File Inclusion in all versions up to, and including, 2.0.2 via the 'path' parameter of the 'get_content' AJAX action. This makes it possible for authenticated attackers, with Author-level access and above, to include and execute arbitrary PHP files on the server, allowing the execution of any PHP code in those files. This can be used to bypass access controls, obtain sensitive data, or achieve code execution in cases where PHP files can be uploaded and included.