Veille sécuritéCMS & e-commerce
P3Élevée
Le plugin WordPress User Profile Builder ne protège pas suffisamment l’URL de la page courante avant de l’insérer dans un contexte JavaScript d’une page d’administration. La fiche signale une XSS réfléchie visant les utilisateurs disposant de privilèges élevés.
JavaScriptWordPress
IdentifiantCVE-2026-111948
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif4.0.1
Source : NVD — CVE-2026-111948
Analyse technique
URL de page non échappée dans un contexte JavaScript d’une page d’administration.
Impact, versions et correctif
Événement datéPublication NVD le 2026-10-21 à 06:16:48 UTC, soit 08:16:48 +02:00, pendant la période figée.
ImpactExécution de JavaScript dans le navigateur d’un utilisateur privilégié qui ouvre une URL malveillante.
Versions affectéesVersions antérieures à 4.0.1
Version corrigée4.0.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.1
EPSS0,16% · percentile 4,7%
Publication2026-10-21T08:16:48+02:00
Mise à jour2026-10-21T20:37:38+02:00
Action recommandée
Mettre à jour User Profile Builder vers la version 4.0.1 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).