Veille sécuritéCMS & e-commerce
P4Moyenne
Cool FormKit Lite jusqu’à la version 2.7.9 incluse est vulnérable à un XSS DOM stocké lié au paramètre custom_id des champs de formulaire Elementor. Un attaquant authentifié ayant au moins le rôle Contributeur peut injecter un script qui s’exécute lorsqu’une page compromise est consultée.
WordPress
IdentifiantCVE-2026-118500
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-118500
Analyse technique
L’échappement HTML à l’émission ne protège pas contre la réinterprétation du fragment par la sérialisation HTML et jQuery .html().
Impact, versions et correctif
Événement datéPublication NVD indiquée le 2026-10-30, dans la période demandée; retenue comme nouvelle vulnérabilité.
ImpactExécution de scripts dans le navigateur des visiteurs de pages contenant les champs compromis.
Versions affectéesCool FormKit Lite jusqu’à et y compris 2.7.9
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,22% · percentile 12,0%
Publication2026-10-30T06:16:47.610Z
Mise à jour2026-10-30T16:17:42.103Z
Action recommandée
Aucune version corrigée n’est précisée dans les informations fournies; appliquer une mise à jour dès qu’elle est disponible.
Sources
Priorisation DFS : P4 · 1 source(s).