CVE-2026-85575
6.4 · Moyenne
XSS stocké dans ShopEngine via la balise de titre produit
Notre PoC Author a confirmé l’XSS stockée dans ShopEngine 4.8.9, de la sauvegarde Elementor à l’exécution dans un navigateur visiteur.
Domaine
WordPress
Extensions WordPress et widgets Elementor.
2 analyses, 7 vulnérabilités
CVE-2026-6504 +5
6.4 · Moyenne
Six XSS stockées dans des extensions WordPress : quand un nom de balise devient un vecteur d’attaque
Analyse de variantes de six extensions WordPress qui affichaient un nom de balise HTML choisi par un Contributeur sans liste blanche, avec à chaque fois une XSS stockée.
Vulnérabilités
| Identifiant | Produit | Vulnérabilité | CVSS | Publié |
|---|---|---|---|---|
| CVE-2026-85575 | ShopEngine (Elementor WooCommerce Builder) | XSS stocké via la balise de titre produit | 6.4 Moyenne | |
| CVE-2026-18988 | Easy Accordion | XSS stockée via accordionTitleTag dans Easy Accordion | 6.4 Moyenne | |
| CVE-2026-11390 | News Kit Addons for Elementor | XSS stockée via les balises des widgets Site Logo Title et Single Author Box dans News Kit Addons | 6.4 Moyenne | |
| CVE-2026-8607 | myCred | XSS stockée via l’attribut de shortcode wrap dans myCred | 6.4 Moyenne | |
| CVE-2026-8613 | aThemes Addons for Elementor | XSS stockée via title_tag dans aThemes Addons | 6.4 Moyenne | |
| CVE-2026-8677 | Prime Elementor Addons | XSS stockée via les réglages de balise HTML des widgets de Prime Elementor Addons | 6.4 Moyenne | |
| CVE-2026-6504 | Royal Addons for Elementor | XSS stockée via title_tag dans Royal Addons | 6.4 Moyenne |
