Veille sécuritéCMS & e-commerce
P4Faible
Secure Custom Fields avant 6.9.8 ne nettoie pas une définition de champ persistée avant de l’utiliser comme nom d’attribut HTML, ce qui peut permettre l’exécution de JavaScript dans le navigateur d’une personne consultant la page. Sur un site multisite, un administrateur de site sans la capacité unfiltered_html peut ainsi affecter les sessions d’autres utilisateurs.
JavaScriptWordPress
IdentifiantCVE-2026-97195
GravitéFaible
Exploitationnon connue / non déterminée
Correctif6.9.8
Source : NVD — CVE-2026-97195
Analyse technique
XSS persistante via une définition de champ non assainie utilisée dans un nom d’attribut HTML.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-08 à 06:17:06.350Z, dans la période demandée.
ImpactExécution de JavaScript dans le navigateur des utilisateurs consultant une page affectée.
Versions affectéesSecure Custom Fields avant 6.9.8
Version corrigée6.9.8
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS3.5
EPSS0,15% · percentile 4,4%
Publication2026-11-08T06:17:06.350Z
Mise à jour2026-11-08T19:17:53.907Z
Détection / vérification
Vérifier la version de Secure Custom Fields et les définitions de champs persistées qui sont rendues dans des pages.
Action recommandée
Mettre à jour vers la version 6.9.8 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).