Veille sécuritéCMS & e-commerce
P3Élevée
AnyComment stocke une valeur email non assainie via son endpoint REST public et l’affiche sans échappement dans l’administration. Un attaquant non authentifié peut ainsi injecter du script qui s’exécute lorsqu’un administrateur consulte la page des abonnements.
WordPress
IdentifiantCVE-2026-103422
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-103422
Analyse technique
La faille combine une validation insuffisante du paramètre email dans l’endpoint /wp-json/anycomment/v1/subscribe et l’absence d’échappement dans AnyCommentSubscriptionsTable::column_default().
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-14, dans la période. L’item est retenu comme vulnérabilité publiée à cette date, et non sur la seule base de sa date de modification.
ImpactExécution de script dans le navigateur d’un administrateur consultant la page des abonnements, avec les privilèges de sa session.
Versions affectéesVersions jusqu’à 0.3.6 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
EPSS0,31% · percentile 22,1%
Publication2026-10-14T03:17:14.037Z
Mise à jour2026-10-14T15:17:03.970Z
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible; à défaut, désactiver le plugin jusqu’à l’application d’un correctif.
Sources
Priorisation DFS : P3 · 1 source(s).