FICHE CVE

CVE-2026-9243

Publiée le 2026-05-29 · Dernière modification le 2026-07-21

🇫🇷 EN BREF

Les sites WordPress utilisant la version 6.4.15 ou une version antérieure de Plus Addons for Elementor sont vulnérables aux failles de cross-site scripting (XSS) stockées. Un attaquant disposant d'au moins des permissions de niveau contributeur peut injecter des scripts malveillants dans une page via le widget Carousel Anything, lesquels s'exécutent ensuite dans le navigateur de tout visiteur consultant cette page. Cela nécessite un compte authentifié, mais aucune autre interaction de l'utilisateur n'est requise pour déclencher l'exploitation.

CVSS 3.16.4 MOYENNE

Type de faiblesse

Cross-site scripting (XSS) · CWE-79

Publiée2026-05-29

Dernière modification2026-07-21

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeModifiée

Impact sur la confidentialitéFaible

Impact sur l'intégritéFaible

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

The Plus Addons for Elementor plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'carousel_direction' parameter of the Carousel Anything widget in versions up to, and including, 6.4.15 This is due to insufficient output escaping in the render() function, where the carousel_direction value is placed into an unquoted HTML attribute (dir=) allowing attribute injection despite the use of esc_attr(). This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.