XSS stockée dans Image Hover Effects Ultimate Visual Composer

Veille sécuritéCMS & e-commerce

P4Moyenne

Image Hover Effects Ultimate Visual Composer est vulnérable à une XSS stockée via le champ d’attribut alternatif d’image dans les versions jusqu’à 3.1.1 incluse. L’exploitation dépend de capacités attribuées par l’administrateur ou d’une installation multisite; NVD indique une gravité moyenne (CVSS 6.4) sans version corrigée précisée.

IdentifiantCVE-2026-109973

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-109973

Analyse technique

La valeur est enregistrée sans échapper les guillemets puis concaténée dans un attribut HTML entre guillemets doubles sans `esc_attr()`; l’injection concerne les pages contenant le shortcode ou bloc affecté.

Impact, versions et correctif

Événement datéRetenue comme nouvelle vulnérabilité publiée par NVD le 2026-11-07, date comprise dans la période demandée.

ImpactUn utilisateur autorisé selon la configuration peut injecter des scripts stockés exécutés par les visiteurs des pages concernées.

Versions affectéesVersions jusqu’à 3.1.1 incluse.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS6.4

Publication2026-11-07T13:16:33.347Z

Mise à jour2026-11-07T18:17:11.597Z

Action recommandée

Mettre à jour vers une version corrigée dès qu’elle est disponible et vérifier les capacités attribuées aux utilisateurs ainsi que les contenus utilisant le bloc ou shortcode concerné.

Sources

NVD — CVE-2026-109973

Priorisation DFS : P4 · 1 source(s).