Veille sécuritéCMS & e-commerce
P4Moyenne
Themify Builder jusqu’à la version 7.8.4 incluse présente une XSS stockée dans les champs de répétition « variations » des publications Custom Font. Un utilisateur authentifié ayant le rôle Contributor ou supérieur peut injecter du script, exécuté lorsqu’une personne consulte la liste d’administration Custom Fonts.
WordPress
IdentifiantCVE-2026-115869
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-115869
Analyse technique
Les valeurs des sous-champs du répéteur sont enregistrées sans assainissement suffisant puis affichées sans échappement dans la liste d’administration des polices personnalisées.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-30T18:17:23.393Z, dans la période demandée.
ImpactUn script injecté peut s’exécuter dans le contexte de la page d’administration Custom Fonts lorsqu’elle est consultée.
Versions affectéesToutes les versions jusqu’à 7.8.4 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
Publication2026-10-30T18:17:23.393Z
Mise à jour2026-10-30T19:18:13.057Z
Action recommandée
Surveiller les mises à jour du plugin et appliquer une version corrigée dès qu’elle est disponible.
Sources
Priorisation DFS : P4 · 1 source(s).