Veille sécuritéCMS & e-commerce
P4Moyenne
VikWidgetsLoader pour WordPress, avant la version 1.12.3, n’assainit ni n’échappe plusieurs attributs de blocs avant de les placer dans des attributs HTML; un contributeur peut ainsi stocker du JavaScript. Celui-ci peut s’exécuter dans le navigateur des personnes consultant l’article, notamment un administrateur ou un éditeur; mettre à jour vers la version 1.12.3 ou ultérieure.
JavaScriptWordPress
IdentifiantCVE-2026-118983
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif1.12.3
Source : NVD — CVE-2026-118983
Analyse technique
Plusieurs attributs de blocs sont rendus dans des attributs HTML sans assainissement ni échappement adéquats; un utilisateur disposant du rôle Contributor peut fournir le contenu malveillant.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-04; cette publication de vulnérabilité, et non une simple modification administrative, est retenue.
ImpactExécution de JavaScript dans le navigateur des utilisateurs consultant l’article affecté.
Versions affectéesVikWidgetsLoader pour WordPress, versions antérieures à 1.12.3
Version corrigée1.12.3
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.8
EPSS0,15% · percentile 4,5%
Publication2026-11-04T06:17:03.650Z
Mise à jour2026-11-04T15:17:39.723Z
Action recommandée
Mettre à jour VikWidgetsLoader vers la version 1.12.3 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).