Le plugin Redux Framework est vulnérable à une XSS stockée via le champ `multi_media`, déclenchée lorsque le profil affecté est consulté dans l’administration. Les versions jusqu’à 4.5.15 inclus sont concernées; la faille nécessite un thème ou plugin utilisant l’API Redux Users et un compte avec au moins le rôle Abonné.
Source : NVD — CVE-2026-102918
Analyse technique
La valeur enregistrée est rendue sans échappement dans des attributs HTML et un élément HTML. Une vérification de permission utilise aussi un identifiant fourni dans la requête, permettant à un utilisateur Abonné d’écrire dans un champ déclaré pour `manage_options`.
Impact, versions et correctif
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible; à défaut, désactiver le composant vulnérable ou l’extension qui expose le champ concerné.
Sources
Priorisation DFS : P4 · 1 source(s).