Un champ « joindre un fichier » sur une seule page publiée suffit pour déposer du code exécutable sur votre serveur, sans le moindre identifiant. Le correctif est sorti le 19 août.
Le formulaire de contact appartient à cette catégorie d'outils qu'on configure une fois, qu'on remplit de champs bien pratiques, et qu'on ne rouvre plus jamais ensuite. Un champ pour le nom, un autre pour l'adresse mail, un troisième pour joindre un CV, une photo de justificatif ou un reçu. C'est ce troisième champ qui vaut aujourd'hui à Elementor Pro une alerte classée critique, documentée par Patchstack.
Une configuration banale, une faille notée 9 sur 10
La vulnérabilité porte la référence CVE-2026-32475 et un score CVSS de 9,0 sur 10, ce qui la range dans la catégorie critique. Elle touche le module Forms d'Elementor Pro, plus précisément son champ d'envoi de fichier, et concerne toutes les versions jusqu'à la 4.2.1 incluse. La version 4.2.2, publiée le 19 août, referme la porte.
Une seule condition suffit pour qu'un site soit exposé : disposer d'au moins une page publiée contenant un widget de formulaire doté d'un champ d'envoi de fichier. Patchstack qualifie cette configuration de banalité quotidienne, et pour cause, puisque les formulaires de candidature, les demandes de pièce jointe et les tickets de support l'utilisent tous. L'option qui rendrait ce champ obligatoire est désactivée par défaut, aucun réglage exotique n'est donc nécessaire pour se retrouver concerné.
Le chercheur Tin Pham, connu sous le pseudonyme TF1T, a signalé le problème le 16 juillet dans le cadre du programme de primes aux bugs de Patchstack. Cinq semaines se sont écoulées avant la publication du correctif, un délai plutôt confortable au regard des standards du secteur (certains éditeurs mettent des mois, quand ils daignent répondre). Aucune campagne d'exploitation n'a été documentée à ce stade, ce qui laisse les sites concernés dans un état d'exposition sans compromission constatée.
Deux boucles qui ne se parlent pas
Le mécanisme mérite un détour, parce qu'il illustre une famille de bugs assez répandue. Dans le code d'Elementor Pro, la vérification de l'extension du fichier et le déplacement de ce fichier vers son emplacement final tournent dans deux boucles distinctes, qui traitent différemment les entrées vides. En soumettant deux morceaux de fichier pour le même champ, un attaquant fait examiner le premier par le contrôle et déposer le second par la routine de déplacement.
Le principe ressemble à un contrôle d'entrée où le gardien examine la première pièce d'identité qu'on lui tend pendant qu'un collègue, resté dans le hall, enregistre le second visiteur sans lui demander son avis. Le fichier PHP atterrit alors dans un répertoire public, sous un nom généré automatiquement, et devient exécutable. Aucun compte n'est requis, aucun mot de passe non plus.
La comparaison avec l'autre alerte WordPress du mois éclaire la hiérarchie des risques. La faille CVE-2026-65640, corrigée par WordPress 7.0.4 le 12 août, affiche un score de 8,8 et permet elle aussi une exécution de code. Elle exige toutefois un compte de niveau Auteur au minimum, ainsi que la présence conjointe d'Imagick et de Ghostscript sur le serveur. Trois conditions contre une seule, la marche est nettement plus haute à franchir.
L'écosystème WordPress accumule les épisodes de ce genre. Nous documentions en mars une faille du plugin User Registration permettant de s'octroyer les droits d'administrateur sur 60 000 sites. En juillet, c'était au tour d'un enchaînement de deux vulnérabilités du cœur du CMS ouvrant une exécution de code sans identifiants. Fin 2025, le budget 2026 du Royaume-Uni fuitait à cause d'un plugin WordPress mal configuré, preuve que la brique la plus anodine d'un site peut coûter très cher.
Le contexte réglementaire ajoute une couche que beaucoup d'administrateurs oublient. Un formulaire compromis qui collectait des CV, des photos de pièce d'identité ou des justificatifs de domicile devient une violation de données personnelles au sens du RGPD. Dès lors qu'un risque pèse sur les personnes, l'article 33 impose une notification à la CNIL dans les 72 heures suivant la prise de connaissance. L'article 34 y ajoute une information des intéressés quand ce risque est élevé. Autant dire que la mise à jour coûte moins cher que la procédure.
Le geste tient en deux temps : vérifier la version d'Elementor Pro installée et passer en 4.2.2, puis inspecter le répertoire wp-content/uploads/elementor/forms. Tout fichier PHP qui s'y trouve mérite une explication, sachant qu'un formulaire de contact n'a jamais eu vocation à héberger du code.
Participer à la discussion
Partagez votre avis avec la communauté Clubic.