XSS stockée dans Image Hover Effects Ultimate

Veille sécuritéCMS & e-commerce

P4Moyenne

CVE-2026-118056 est une XSS stockée dans Image Hover Effects Ultimate, versions jusqu’à 9.12.2 incluses. Elle requiert que le réglage « Who can edit » soit configuré sur Subscriber, ce qui permet à un utilisateur connecté d’altérer des styles existants; aucun correctif n’est indiqué.

IdentifiantCVE-2026-118056

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-118056

Analyse technique

La faille touche rawdata.oxi_image_comparison_before_text et inclut une vérification d’appartenance manquante sur l’identifiant du style cible.

Impact, versions et correctif

Événement datéPublication NVD horodatée le 2026-11-07T12:17:43.563Z, dans la période demandée; la condition de configuration et le défaut d’autorisation sont décrits dans la fiche fournie.

ImpactUn utilisateur connecté répondant aux conditions peut modifier des styles existants et injecter du script exécuté lors de l’accès à une page affectée.

Versions affectéesJusqu’à 9.12.2 incluse

ContournementNe pas configurer « Who can edit » sur Subscriber; limiter ce réglage aux rôles de confiance.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS4.9

Publication2026-11-07T12:17:43.563Z

Mise à jour2026-11-07T18:17:13.510Z

Détection / vérification

Vérifier si Image Hover Effects Ultimate est installé en version 9.12.2 ou antérieure et contrôler le réglage « Who can edit ».

Action recommandée

Restreindre le réglage « Who can edit » à des rôles de confiance et appliquer une mise à jour corrigée dès qu’elle est disponible.

Sources

NVD — CVE-2026-118056

Priorisation DFS : P4 · 1 source(s).