Veille sécuritéCMS & e-commerce
P4Moyenne
Une valeur de profil contrôlée par l’utilisateur n’est pas échappée avant son insertion dans un attribut HTML entre guillemets dans un widget Elementor, permettant à un auteur d’enregistrer un contenu qui s’exécute lorsque la publication est consultée. Dynific Addons for Elementor avant 1.3.1 est concerné ; mettre à jour vers 1.3.1 ou une version ultérieure.
WordPress
IdentifiantCVE-2026-117521
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif1.3.1
Source : NVD — CVE-2026-117521
Analyse technique
Il s’agit d’une vulnérabilité de script intersite stocké ; l’utilisateur attaquant doit disposer du rôle Auteur.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-11T06:17:14.240Z, dans la période demandée. Sa mise à jour du 2026-11-12T18:49:18.840Z est postérieure à la période et n’est pas retenue comme événement.
ImpactUn contenu malveillant peut s’exécuter dans le navigateur d’une personne consultant une publication créée par l’attaquant.
Versions affectéesDynific Addons for Elementor avant 1.3.1
Version corrigée1.3.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.8
EPSS0,22% · percentile 12,3%
Publication2026-11-11T06:17:14.240Z
Action recommandée
Mettre à jour Dynific Addons for Elementor vers la version 1.3.1 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).