3.5
Faible
CVE-2025-15708 Live Composer < 2.1.23 - Admin+ Stored XSS via Partner Slug
Description
The Live Composer WordPress plugin before 2.1.23 does not sanitise and escape some of its custom post type slug settings before using them in front-end links, which could allow high privilege users such as admin to perform Stored Cross-Site Scripting attacks even when the unfiltered_html capability is disallowed (for example in a multisite setup).
Détail CVSS 3.1
Vecteur CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:L/I:L/A:NExploitable à distance par le réseau, avec un compte administrateur et si un utilisateur effectue une action ; l’impact sur les données ou le service reste limité.
- Vecteur d’attaque
- Réseau
- Complexité
- Faible
- Privilèges requis
- Élevés
- Interaction
- Requise
- Portée
- Inchangée
- Confidentialité
- Faible
- Intégrité
- Faible
- Disponibilité
- Aucun
Produits et versions touchés
| Produit | Versions touchées | Corrigé en |
|---|---|---|
| Live Composer 2.1 | premières → < 2.1.23 | 2.1.23 |