Veille sécuritéCMS & e-commerce
P4Moyenne
DesignSetGo jusqu’à la version 2.11.0 incluse présente une XSS persistante déclenchable par un utilisateur authentifié ayant au moins le rôle Contributeur. L’exploitation nécessite qu’un administrateur lance la migration « Scan & Convert Blocks » ; aucune version corrigée n’est mentionnée dans la source.
WordPress
IdentifiantCVE-2026-111068
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-111068
Analyse technique
Le paramètre tagName est insuffisamment nettoyé et échappé ; la migration administrateur transforme le contenu dormant du commentaire de bloc en HTML actif dans le contenu de l’article.
Impact, versions et correctif
Événement datéPublication NVD le 2026-10-28T07:16:46.517Z, dans la période demandée ; retenue comme divulgation d’une vulnérabilité nouvelle. La mise à jour ultérieure de la fiche, le 2026-10-29, est hors période.
ImpactUn script injecté peut s’exécuter pour les utilisateurs consultant le contenu converti, si un administrateur lance la migration vulnérable.
Versions affectéesDesignSetGo jusqu’à 2.11.0 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.4
EPSS0,21% · percentile 11,6%
Publication2026-10-28T07:16:46.517Z
Mise à jour2026-10-29T02:16:49.117Z
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible et ne lancer la migration qu’après vérification de la disponibilité d’un correctif.
Sources
Priorisation DFS : P4 · 1 source(s).