XSS via les attributs de shortcode d’ACF Extended

Veille sécuritéCMS & e-commerce

P4Moyenne

Advanced Custom Fields: Extended et sa version PRO, avant la version 0.9.2.8, n’échappent pas certains attributs de shortcode de formulaire pouvant provenir de la requête du visiteur. Un contributeur peut ainsi provoquer l’exécution de script dans le navigateur d’une personne ouvrant le lien ou la page préparée, y compris un administrateur; mettre à jour vers la version 0.9.2.8 ou ultérieure.

IdentifiantCVE-2026-94264

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif0.9.2.8

Source : NVD — CVE-2026-94264

Analyse technique

XSS par attributs de shortcode de formulaire non validés ou échappés, pouvant prendre des valeurs dans la requête du visiteur; l’avis indique qu’il s’agit d’un correctif incomplet lié à CVE-2023-5292.

Impact, versions et correctif

Événement datéLa fiche NVD a été publiée le 2026-10-23 à 08:17:08.103 +02:00, dans la période demandée.

ImpactExécution de script dans le navigateur de toute personne ouvrant le lien ou la page préparée, potentiellement un administrateur.

Versions affectéesAdvanced Custom Fields: Extended et Advanced Custom Fields: Extended PRO versions antérieures à 0.9.2.8

Version corrigée0.9.2.8

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS6.8

EPSS0,15% · percentile 4,1%

Publication2026-10-23T08:17:08.103+02:00

Mise à jour2026-10-23T16:20:57.920+02:00

Action recommandée

Mettre à jour Advanced Custom Fields: Extended et Advanced Custom Fields: Extended PRO vers la version 0.9.2.8 ou ultérieure.

Sources

NVD — CVE-2026-94264

Priorisation DFS : P4 · 1 source(s).