Le plugin CMB2 présente une vulnérabilité de script intersites persistant liée à un champ WYSIWYG dans un groupe répétable, dans une configuration particulière du formulaire frontal. Toutes les versions jusqu’à 2.13.4 inclus sont concernées ; aucun correctif n’est mentionné dans les éléments fournis.
Source : NVD — CVE-2026-116761
Analyse technique
L’exploitation nécessite qu’un intégrateur rende le formulaire frontal documenté avec un champ WYSIWYG dans un groupe répétable sur une page accessible publiquement. Un attaquant non authentifié peut alors injecter un script qui s’exécute à la consultation de la page affectée.
Impact, versions et correctif
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible ; vérifier si des formulaires frontaux utilisent cette configuration de champ.
Sources
Priorisation DFS : P4 · 1 source(s).