Veille sécuritéCMS & e-commerce
P4Faible
Live Composer ne neutralise pas correctement certains paramètres de slug de types de contenu personnalisés avant leur insertion dans des liens de l’interface publique, ce qui permet une XSS stockée. Le problème concerne les versions antérieures à 2.1.23 et peut être exploité par des utilisateurs privilégiés même lorsque unfiltered_html est désactivé.
WordPress
IdentifiantCVE-2025-15708
GravitéFaible
Exploitationnon connue / non déterminée
Correctif2.1.23
Source : NVD — CVE-2025-15708
Analyse technique
La fiche NVD décrit une faille affectant les paramètres de slug de types de contenu personnalisés et précise que la version 2.1.23 corrige le problème.
Impact, versions et correctif
Événement datéBien que le CVE soit de 2025, sa fiche NVD a été publiée le 2026-11-07; c’est cette nouvelle publication datée qui est retenue.
ImpactUn utilisateur privilégié peut injecter du script dans des liens publics, y compris dans certaines configurations multisite.
Versions affectéesVersions antérieures à 2.1.23.
Version corrigée2.1.23
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS3.5
EPSS0,16% · percentile 5,6%
Publication2026-11-07T06:16:56.067Z
Mise à jour2026-11-07T19:17:17.147Z
Action recommandée
Mettre Live Composer à jour vers la version 2.1.23 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).