Veille sécuritéCMS & e-commerce
P4Moyenne
Advanced Custom Fields: Extended et sa version PRO, dans les versions 0.9.2.4 à 0.9.2.7, ne désactivent pas systématiquement l’exécution des shortcodes dans le message de confirmation des formulaires front-end. Un visiteur non authentifié peut provoquer l’exécution côté serveur de shortcodes arbitraires lorsqu’il soumet un formulaire dont la configuration enregistrée ne contient pas le réglage de désactivation concerné.
WordPress
IdentifiantCVE-2026-94263
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : CVE-2026-94263 — NVD
Analyse technique
L’exécution de shortcodes se produit dans le message de confirmation d’un formulaire front-end affecté.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-23T12:18:19.283Z et mise à jour le 2026-10-23T14:20:57.920Z, dans la période demandée; le candidat ne précise pas la nature du changement NVD. L’élément est retenu comme vulnérabilité nouvellement divulguée dans cette période, sans attribuer de correctif non fourni.
ImpactUn visiteur non authentifié peut déclencher l’exécution serveur de shortcodes arbitraires dans certaines configurations de formulaires.
Versions affectéesAdvanced Custom Fields: Extended et Advanced Custom Fields: Extended PRO 0.9.2.4 à 0.9.2.7
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.8
Publication2026-10-23T12:18:19.283Z
Mise à jour2026-10-23T14:20:57.920Z
Action recommandée
Mettre à jour les extensions vers une version corrigée dès qu’elle est disponible; vérifier les formulaires front-end et leur configuration en attendant.
Sources
Priorisation DFS : P4 · 1 source(s).