Veille sécuritéCMS & e-commerce
P3Élevée
Le plugin Advanced Custom Fields (ACF) avant la version 6.8.11 assainit incorrectement une définition de champ stockée modifiable via le traitement des commentaires. Un utilisateur non authentifié peut ainsi injecter un contenu exécuté comme JavaScript dans le navigateur des visiteurs ou administrateurs qui consultent une page affichant le champ concerné.
JavaScriptWordPress
IdentifiantCVE-2026-110813
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif6.8.11
Source : NVD — CVE-2026-110813
Analyse technique
Le contenu injecté est rendu comme nom d’attribut HTML dans une définition de champ stockée.
Impact, versions et correctif
Événement datéLa fiche indique une première publication le 2026-11-06T06:16:39.717Z, comprise dans la période demandée; l’événement retenu est la publication de la vulnérabilité.
ImpactExécution de JavaScript dans le navigateur des visiteurs ou administrateurs d’une page affectée.
Versions affectéesACF avant 6.8.11
Version corrigée6.8.11
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
EPSS0,19% · percentile 8,2%
Publication2026-11-06T06:16:39.717Z
Mise à jour2026-11-06T20:09:13.780Z
Action recommandée
Mettre à jour ACF vers la version 6.8.11 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).