News Kit Addons For Elementor, jusqu’à la version 1.4.8 incluse, présente une faille de XSS stockée exploitable par des utilisateurs authentifiés ayant au moins le rôle d’abonné. Une validation insuffisante de données JSON peut permettre d’injecter du script dans des pages, après contournement lié à l’exposition d’un nonce dans certaines pages d’administration.
Source : NVD — CVE-2026-120524
Analyse technique
Le traitement de données JSON permet à des caractères encodés sous la forme \u003c et \u003e de réapparaître comme balises après décodage. La description signale également que le bundle d’administration et son nonce peuvent être chargés sur des pages accessibles aux abonnés.
Impact, versions et correctif
Action recommandée
Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible; limiter les comptes de faible privilège et leurs accès d’administration en attendant.
Sources
Priorisation DFS : P4 · 1 source(s).