Veille sécuritéCMS & e-commerce
P4Faible
Live Composer pour WordPress présente une faille XSS stockée : un utilisateur autorisé à utiliser le constructeur de pages peut injecter du JavaScript exécuté lorsqu’un visiteur consulte la page concernée. Les administrateurs peuvent également être touchés dans certaines configurations multisites.
JavaScriptWordPress
IdentifiantCVE-2025-15713
GravitéFaible
Exploitationnon connue / non déterminée
Correctif2.1.24
Source : NVD — CVE-2025-15713
Analyse technique
Certains paramètres de modules du constructeur ne sont pas assainis ni échappés avant leur affichage, permettant l’injection de JavaScript.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-11, dans la période demandée. La mise à jour ultérieure du 2026-11-12 est hors période et n’est pas retenue comme événement.
ImpactExécution de JavaScript dans le navigateur des visiteurs de la page vulnérable, avec risque d’atteinte aux données et actions accessibles dans leur session.
Versions affectéesVersions antérieures à 2.1.24.
Version corrigée2.1.24
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS3.5
EPSS0,20% · percentile 9,9%
Publication2026-11-11T06:17:10.167Z
Action recommandée
Mettre à jour Live Composer vers la version 2.1.24 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).