Veille sécuritéCMS & e-commerce
P4Moyenne
Elementor Website Builder pour WordPress présente une XSS stockée exploitable par un contributeur : un identifiant d’élément contrôlé est rendu dans un attribut de framework côté client évalué comme JavaScript. Le script peut s’exécuter dans le navigateur des personnes consultant le contenu, notamment un administrateur qui examine une contribution avant publication.
JavaScriptWordPress
IdentifiantCVE-2026-104718
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif4.3.6
Source : NVD — CVE-2026-104718
Analyse technique
L’identifiant d’élément n’est pas validé ni échappé avant son rendu dans un attribut client interprété comme JavaScript.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-11, dans la période demandée. Sa mise à jour du 2026-11-12 est hors période.
ImpactExécution de JavaScript dans le navigateur des personnes consultant le contenu vulnérable.
Versions affectéesVersions antérieures à 4.3.6.
Version corrigée4.3.6
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.8
EPSS0,20% · percentile 9,9%
Publication2026-11-11T06:17:10.440Z
Action recommandée
Mettre à jour Elementor Website Builder vers la version 4.3.6 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).