Veille sécuritéCMS & e-commerce
P4Moyenne
Live Composer antérieur à 2.1.24 n’échappe pas plusieurs attributs d’un shortcode de constructeur de pages avant leur insertion dans des attributs HTML. Un utilisateur ayant au moins le rôle de contributeur peut stocker un contenu qui exécute du script dans le navigateur des personnes consultant la publication.
WordPress
IdentifiantCVE-2026-119531
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif2.1.24
Source : NVD — CVE-2026-119531
Analyse technique
Le contenu peut notamment être exécuté dans le navigateur d’un administrateur examinant une soumission en attente.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-11, à l’intérieur de la période demandée. Sa mise à jour ultérieure, le 2026-11-12, n’est pas retenue comme événement de la période.
ImpactExécution de script dans le navigateur des personnes consultant le contenu, y compris un administrateur.
Versions affectéesVersions antérieures à 2.1.24
Version corrigée2.1.24
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.8
EPSS0,21% · percentile 11,1%
Publication2026-11-11T06:17:16.330Z
Mise à jour2026-11-12T18:49:18.840Z
Action recommandée
Mettre à jour Live Composer vers la version 2.1.24 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).