Dans certaines configurations, un visiteur non authentifié peut faire exécuter des shortcodes enregistrés avec des attributs choisis par lui. La faille exige que le propriétaire du site ait ajouté une balise de contenu dérivée d’une requête au formulaire et que celui-ci soit intégré avec le bloc plutôt qu’avec le shortcode classique.
Source : NVD — CVE-2026-118166
Analyse technique
Les valeurs dérivées des requêtes dans les balises de contenu dynamique ne sont pas empêchées d’être interprétées comme des shortcodes lors de l’intégration du formulaire avec son bloc.
Impact, versions et correctif
Action recommandée
Mettre à jour MC4WP vers la version 4.15.0 ou ultérieure; vérifier aussi les formulaires utilisant des balises de contenu dérivées de requêtes intégrés avec le bloc.
Sources
Priorisation DFS : P4 · 1 source(s).