CVE-2026-111318 — XSS DOM stockée dans HT Mega Addons for Elementor

Veille sécuritéCMS & e-commerce

P4Moyenne

Dans une configuration incluant notamment un éditeur riche co-installé, un lien stocké dans la navigation d’un onglet peut conduire à une XSS DOM. Les versions de HT Mega Addons for Elementor jusqu’à 3.2.7 inclus sont concernées.

IdentifiantCVE-2026-111318

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-111318

Analyse technique

La faille concerne l’attribut href dans .htmega-tab-nav. La réussite nécessite un plugin co-installé tel que wpDiscuz avec éditeur riche dont la liste d’autorisation conserve span[class] et a[href], un widget HT Mega Tabs sur la page et un clic de la victime.

Impact, versions et correctif

Événement datéFiche NVD publiée le 2026-10-29, dans la période demandée.

ImpactUn utilisateur peut être amené à cliquer sur un lien injecté qui déclenche un script dans son navigateur.

Versions affectéesHT Mega Addons for Elementor jusqu’à 3.2.7 inclus.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS5.4

EPSS0,35% · percentile 28,0%

Publication2026-10-29T12:17:03.017+02:00

Mise à jour2026-10-29T16:56:26.107+02:00

Détection / vérification

Vérifier HT Mega Addons for Elementor jusqu’à 3.2.7 inclus et les pages combinant un widget HT Mega Tabs et une zone de commentaires rich editor compatible.

Action recommandée

Mettre à jour le plugin lorsqu’un correctif est disponible et examiner les intégrations de commentaires et widgets concernées.

Sources

NVD — CVE-2026-111318

Priorisation DFS : P4 · 1 source(s).