Veille sécuritéCMS & e-commerce
P4Moyenne
Le module Zion Builder jusqu’à 3.6.17 ne nettoie pas les fichiers SVG téléversés avant de les servir depuis une adresse publique de même origine que le site. Un utilisateur authentifié ayant le rôle Auteur ou supérieur peut ainsi déposer un SVG contenant du JavaScript ; mettre à jour le module vers une version corrigée, non précisée par les sources consultées.
JavaScriptWordPress
IdentifiantCVE-2026-104676
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-104676
Analyse technique
Téléversement de SVG sans assainissement ni validation de contenu, avec exécution de JavaScript dans le navigateur d’une personne ouvrant le fichier.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-10 à 06:17:07.837Z, soit le 2026-11-10 à 08:17:07.837+02:00, dans la période retenue. La modification du 2026-11-11 est postérieure à la borne et n’est pas utilisée.
ImpactExécution de JavaScript dans le navigateur d’une personne ouvrant le SVG depuis le site.
Versions affectéesZion Builder jusqu’à 3.6.17 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.8
EPSS0,16% · percentile 5,1%
Publication2026-11-10T08:17:07.837+02:00
Action recommandée
Mettre à jour Zion Builder vers une version corrigée et limiter les téléversements SVG jusqu’à l’application du correctif.
Sources
Priorisation DFS : P4 · 1 source(s).