Veille sécuritéCMS & e-commerce
P3Élevée
Unlimited Elements for Elementor était vulnérable à une XSS stockée via le contenu d’un flux RSS contrôlé par l’attaquant, dans les sites utilisant le widget de catalogue RSS configuré vers ce flux. Toutes les versions jusqu’à 2.0.26 inclus sont concernées ; la source ne donne pas de version corrigée.
WordPress
IdentifiantCVE-2026-116558
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-116558
Analyse technique
Des titres d’éléments RSS encodés en entités XML sont décodés en balisage avant d’atteindre le rendu ; le préprocesseur d’échappement exclut certains rendus |raw dans le contenu des éléments.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-07, dans la période demandée.
ImpactUn attaquant non authentifié peut injecter un script sur un site configuré pour afficher son flux RSS malveillant.
Versions affectéesToutes les versions jusqu’à 2.0.26 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
EPSS0,24% · percentile 15,3%
Publication2026-11-07T09:17:02+02:00
Mise à jour2026-11-07T20:17:12+02:00
Action recommandée
Éviter de configurer le widget de catalogue RSS avec une URL contrôlée par un tiers non fiable et appliquer un correctif dès sa disponibilité.
Sources
Priorisation DFS : P3 · 1 source(s).