Veille sécuritéCMS & e-commerce
P4Moyenne
Dans Dynific Addons for Elementor (anciennement Anywhere Elementor) avant 1.3.1, un titre de publication n’est pas échappé dans un attribut HTML, ce qui permet à un auteur de provoquer une XSS stockée lorsqu’un visiteur consulte la publication. Mettre à jour vers la version 1.3.1 ou ultérieure.
WordPress
IdentifiantCVE-2026-117522
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-117522
Analyse technique
Le titre fourni par l’utilisateur est rendu sans échappement dans un attribut HTML cité; l’exécution du script affecte les utilisateurs qui consultent le contenu.
Impact, versions et correctif
Événement datéFiche NVD publiée le 2026-11-11T06:17:14.390Z, dans la période demandée. La mise à jour ultérieure de la fiche, datée du 2026-11-12, n’est pas traitée comme un événement de la période.
ImpactUn auteur peut faire exécuter du script dans la session des personnes consultant une publication piégée, y compris un administrateur.
Versions affectéesDynific Addons for Elementor avant 1.3.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.8
EPSS0,22% · percentile 12,2%
Publication2026-11-11T06:17:14.390Z
Action recommandée
Mettre à jour le plugin vers la version 1.3.1 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).