CVE-2026-115183
Publiée le 2026-10-25 · Dernière modification le 2026-10-26
Qi Addons For Elementor est une extension WordPress utilisée pour étendre les capacités de conception du constructeur de pages Elementor. Les versions antérieures à 1.11.2 ne nettoient pas correctement le texte des titres après le décodage des entités HTML. Cela permet à un utilisateur de contourner les filtres de sécurité standards de WordPress et d'injecter du HTML brut dans un article.
Un attaquant disposant de permissions de niveau Contributeur ou supérieur peut utiliser cette faille pour intégrer des formulaires HTML malveillants, tels que de faux champs de connexion, afin de voler des identifiants. Comme cette action nécessite une authentification de compte de haut niveau et dépend de l'interaction d'un visiteur du site avec le faux formulaire, le risque pour l'intégrité globale du serveur est faible. Aucun accès administratif direct ni prise de contrôle du serveur n'est possible via cette méthode.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The Qi Addons For Elementor WordPress plugin before 1.11.2 does not properly sanitise a widget's heading text after decoding HTML entities in it, allowing users with the Contributor role and above to embed live HTML forms, including password fields that submit to an external host, into posts where WordPress would otherwise strip them.