Veille sécuritéCMS & e-commerce
P4Moyenne
aBlocks était vulnérable à une XSS stockée via le paramètre « headingTag », pour toutes les versions jusqu’à 2.18.0 inclus. Des utilisateurs authentifiés ayant le rôle contributeur ou supérieur pouvaient injecter un script ; la source ne précise pas de version corrigée.
WordPress
IdentifiantCVE-2026-118800
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-118800
Analyse technique
La vulnérabilité est attribuée à une validation insuffisante de l’entrée et à un échappement insuffisant de la sortie du paramètre headingTag.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-07, dans la période demandée.
ImpactUn contributeur ou utilisateur de niveau supérieur peut injecter un script exécuté lors de l’affichage du contenu concerné.
Versions affectéesToutes les versions jusqu’à 2.18.0 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,20% · percentile 9,5%
Publication2026-11-07T09:17:03+02:00
Mise à jour2026-11-07T20:17:13+02:00
Action recommandée
Vérifier auprès de l’éditeur la disponibilité d’un correctif et mettre le plugin à jour dès qu’il est proposé.
Sources
Priorisation DFS : P4 · 1 source(s).