Veille sécuritéCMS & e-commerce
P4Moyenne
Le plugin Elementor Website Builder ne désinfecte pas les fichiers SVG sur toutes les voies d’envoi; un auteur ou utilisateur de rôle supérieur peut ainsi téléverser un SVG contenant du JavaScript. Le scénario décrit requiert que l’option autorisant les téléversements de fichiers non filtrés soit activée.
JavaScriptWordPress
IdentifiantCVE-2026-81812
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif4.3.5
Source : NVD — CVE-2026-81812
Analyse technique
SVG insuffisamment assaini sur certaines routes de téléversement; l’exécution se produit lorsqu’un utilisateur ouvre le fichier.
Impact, versions et correctif
Événement datéPublication NVD le 2026-10-21 à 06:16:49 UTC, soit 08:16:49 +02:00, pendant la période figée.
ImpactExécution de JavaScript dans le navigateur des personnes qui ouvrent un SVG malveillant.
Versions affectéesVersions antérieures à 4.3.5
Version corrigée4.3.5
ContournementDésactiver les téléversements de fichiers non filtrés si cette option est activée.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,16% · percentile 4,7%
Publication2026-10-21T08:16:49+02:00
Mise à jour2026-10-21T20:37:38+02:00
Action recommandée
Mettre à jour Elementor vers la version 4.3.5 ou ultérieure; désactiver l’option de téléversement non filtré si elle n’est pas indispensable.
Sources
Priorisation DFS : P4 · 1 source(s).