XSS basée sur le DOM dans Greenshift via Split Text

Veille sécuritéCMS & e-commerce

P4Moyenne

Greenshift – animation and page builder blocks jusqu’à la version 13.2.1 incluse présente une seconde XSS stockée basée sur le DOM liée au contenu des commentaires. Elle concerne les pages où un bloc Advanced HTML Element avec animation Split Text englobe un bloc Latest Comments affichant les extraits; mettre à jour dès qu’un correctif est disponible.

IdentifiantCVE-2026-107629

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-107629

Analyse technique

Dans la configuration concernée, splittext.js est chargé et traite le conteneur du contenu des commentaires.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-10-29, dans la période demandée; cette date est retenue comme publication de la vulnérabilité.

ImpactUn script injecté dans le contenu d’un commentaire peut s’exécuter pour les visiteurs de la page concernée.

Versions affectéesGreenshift – animation and page builder blocks jusqu’à 13.2.1 incluse

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS5.4

EPSS0,34% · percentile 27,6%

Publication2026-10-29T10:17:02.440Z

Mise à jour2026-10-29T14:56:26.107Z

Détection / vérification

Vérifier Greenshift jusqu’à 13.2.1 inclus et les pages où un bloc Advanced HTML Element avec Split Text entoure un bloc Latest Comments affichant les extraits.

Action recommandée

Mettre à jour le plugin lorsqu’un correctif est disponible et examiner les pages utilisant ces blocs et réglages.

Sources

NVD — CVE-2026-107629

Priorisation DFS : P4 · 1 source(s).