Veille sécuritéCMS & e-commerce
P4Moyenne
Page Builder by SiteOrigin ne nettoie ni n’échappe une propriété de widget avant son stockage et son affichage dans l’interface du constructeur, permettant une XSS persistante. Un utilisateur ayant le rôle Contributeur ou supérieur peut viser les utilisateurs privilégiés qui ouvrent la publication concernée dans l’éditeur ; les versions antérieures à 2.38.0 sont concernées.
WordPress
IdentifiantCVE-2026-110506
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif2.38.0
Source : NVD — CVE-2026-110506
Analyse technique
La propriété de widget est stockée puis rendue dans l’interface du constructeur sans assainissement ni échappement suffisant.
Impact, versions et correctif
Événement datéPublication NVD le 2026-10-28T06:16:33.543Z, dans la période demandée ; l’événement retenu est la publication de la fiche.
ImpactUn script peut s’exécuter dans l’interface d’édition lorsqu’un utilisateur privilégié ouvre la publication affectée.
Versions affectéesVersions antérieures à 2.38.0
Version corrigée2.38.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.8
EPSS0,17% · percentile 6,5%
Publication2026-10-28T06:16:33.543Z
Mise à jour2026-10-28T18:17:05.970Z
Action recommandée
Mettre à jour Page Builder by SiteOrigin vers la version 2.38.0 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).