Veille sécuritéCMS & e-commerce
P4Faible
Live Composer ne neutralise pas certaines options de son module Button avant leur affichage côté public, ce qui peut permettre une XSS stockée à des utilisateurs privilégiés. Le script peut être exécuté par les visiteurs des pages contenant le bouton concerné.
WordPress
IdentifiantCVE-2025-15714
GravitéFaible
Exploitationnon connue / non déterminée
Correctif2.1.24
Source : NVD — CVE-2025-15714
Analyse technique
La faille concerne les réglages du module Button et peut avoir un impact même lorsque `unfiltered_html` est désactivé.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-11 à 06:17:10 UTC, soit le 2026-11-11 à 08:17:10 +02:00. Les mises à jour de fiche du 2026-11-12 sont hors période.
ImpactExécution de script dans le navigateur des visiteurs d’une page affectée.
Versions affectéesVersions antérieures à 2.1.24
Version corrigée2.1.24
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS3.5
EPSS0,21% · percentile 11,1%
Publication2026-11-11T08:17:10+02:00
Action recommandée
Mettre à jour Live Composer vers la version 2.1.24 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).