CVE-2026-85575
6.4 · Moyenne
XSS stocké dans ShopEngine via la balise de titre produit
Notre PoC Author a confirmé l’XSS stockée dans ShopEngine 4.8.9, de la sauvegarde Elementor à l’exécution dans un navigateur visiteur.
Classe de vulnérabilité
XSS
Cross-site scripting stocké : du HTML ou du JavaScript rendu sans échappement dans le navigateur d’un autre utilisateur.
4 analyses, 9 vulnérabilités
CVE-2026-6504 +5
6.4 · Moyenne
Six XSS stockées dans des extensions WordPress : quand un nom de balise devient un vecteur d’attaque
Analyse de variantes de six extensions WordPress qui affichaient un nom de balise HTML choisi par un Contributeur sans liste blanche, avec à chaque fois une XSS stockée.
CVE-2026-84191
6.1 · Moyenne
XSS stockée dans LibreNMS via les noms et descriptions de VRF issus de SNMP
LibreNMS affichait sans échappement les noms, descriptions et route distinguishers de VRF lus en SNMP : un équipement hostile exécutait du script chez l’opérateur.
pfSense-SA-26_03.webgui
À la une 5.2 · Moyenne
PfSense-SA-26_03 : XSS stocké dans la table ARP via un nom d’hôte DHCP
Un client DHCP du réseau local pouvait stocker un nom d’hôte porteur de JavaScript qui s’exécutait dans le navigateur d’un administrateur pfSense ouvrant la table ARP.
Vulnérabilités
| Identifiant | Produit | Vulnérabilité | CVSS | Publié |
|---|---|---|---|---|
| CVE-2026-85575 | ShopEngine (Elementor WooCommerce Builder) | XSS stocké via la balise de titre produit | 6.4 Moyenne | |
| CVE-2026-18988 | Easy Accordion | XSS stockée via accordionTitleTag dans Easy Accordion | 6.4 Moyenne | |
| CVE-2026-84191 | LibreNMS | XSS stockée dans les pages VRF via des données SNMP | 6.1 Moyenne | |
| CVE-2026-11390 | News Kit Addons for Elementor | XSS stockée via les balises des widgets Site Logo Title et Single Author Box dans News Kit Addons | 6.4 Moyenne | |
| CVE-2026-8607 | myCred | XSS stockée via l’attribut de shortcode wrap dans myCred | 6.4 Moyenne | |
| CVE-2026-8613 | aThemes Addons for Elementor | XSS stockée via title_tag dans aThemes Addons | 6.4 Moyenne | |
| CVE-2026-8677 | Prime Elementor Addons | XSS stockée via les réglages de balise HTML des widgets de Prime Elementor Addons | 6.4 Moyenne | |
| CVE-2026-6504 | Royal Addons for Elementor | XSS stockée via title_tag dans Royal Addons | 6.4 Moyenne | |
| pfSense-SA-26_03.webgui | Netgate pfSense | XSS stocké dans diag_arp.php via un nom d’hôte ISC DHCP | 5.2 Moyenne |
