Veille sécuritéCMS & e-commerce
P4Moyenne
Avada (Fusion) Builder jusqu’à la version 3.16.2 permet une XSS stockée via les paramètres tab_index et empty_notice. Un attaquant authentifié disposant au moins du rôle Contributor peut injecter des scripts persistants ; mettre à jour vers une version corrigée, si disponible.
WordPress
IdentifiantCVE-2026-104729
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-104729
Analyse technique
Le contenu malveillant dans les attributs de shortcode entre crochets n’est pas supprimé par wp_kses_post lors de l’enregistrement.
Impact, versions et correctif
Événement datéPublication de la fiche NVD le 2026-10-28 ; seule cette publication est retenue comme événement dans la période. La mise à jour NVD du 2026-10-29 est postérieure à la borne de fin.
ImpactDes utilisateurs affichant une page contenant le contenu injecté peuvent exécuter le script malveillant.
Versions affectéesToutes les versions jusqu’à 3.16.2 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,16% · percentile 4,7%
Publication2026-10-28T07:16:43.370Z
Mise à jour2026-10-29T02:16:45.810Z
Action recommandée
Mettre à jour Avada Builder vers une version corrigée lorsqu’elle est disponible.
Sources
Priorisation DFS : P4 · 1 source(s).