Veille sécuritéCMS & e-commerce
P4Moyenne
Le plugin User Profile Builder, avant la version 4.0.5, ne neutralise pas un attribut de shortcode avant de l’afficher dans un message de redirection, permettant une XSS stockée déclenchée par un contributeur contre des utilisateurs privilégiés qui soumettent le formulaire concerné. Mettre à jour vers la version 4.0.5 ou ultérieure.
WordPress
IdentifiantCVE-2026-111966
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif4.0.5
Source : NVD — CVE-2026-111966
Analyse technique
XSS stockée par absence de sanitisation et d’échappement d’un attribut de shortcode affiché dans un message de redirection; un contributeur peut cibler des utilisateurs plus privilégiés qui soumettent le formulaire affecté.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-23 à 08:17:05.997 +02:00, dans la période demandée.
ImpactExécution de JavaScript dans le navigateur d’utilisateurs privilégiés consultant le message de redirection affecté après soumission du formulaire.
Versions affectéesUser Profile Builder versions antérieures à 4.0.5
Version corrigée4.0.5
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.8
EPSS0,15% · percentile 4,1%
Publication2026-10-23T08:17:05.997+02:00
Mise à jour2026-10-23T16:20:57.920+02:00
Action recommandée
Mettre à jour User Profile Builder vers la version 4.0.5 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).