WordPress Cryptocurrency Donation Box : XSS stockée exploitable sans authentification

Veille sécuritéCMS & e-commerce

P3Élevée

Le plug-in Cryptocurrency Donation Box – Bitcoin & Crypto Donations pour WordPress présente une XSS stockée via le paramètre data_object, due à une validation des entrées et à un échappement des sorties insuffisants. Le défaut permet à des attaquants non authentifiés d’injecter des scripts qui s’exécutent lorsqu’une page modifiée est consultée ; la fiche indique que les versions jusqu’à 2.2.13 inclus sont touchées.

IdentifiantCVE-2026-93885

GravitéÉlevée

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : CVE-2026-93885 — NVD

Analyse technique

L’action AJAX cdbbc_payment_verify est accessible aux visiteurs non authentifiés ; son contrôle par nonce est contournable, car le nonce cdbbc_donation_box est exposé publiquement via l’objet JavaScript wallets_data produit par le shortcode [crypto-donation-box].

Impact, versions et correctif

Événement datéPublication NVD le 14 octobre 2026 à 04:18:54Z, soit le 14 octobre à 06:18:54 +02:00, dans la période demandée.

ImpactExécution de scripts dans le navigateur des personnes consultant une page contenant le contenu injecté.

Versions affectéesToutes les versions jusqu’à 2.2.13 inclusivement.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.2

EPSS0,39% · percentile 31,6%

Publication2026-10-14T06:18:54.973+02:00

Mise à jour2026-10-14T16:26:59.367+02:00

Action recommandée

Mettre à jour vers une version corrigée dès qu’elle est disponible ; la source fournie ne précise pas de version corrigée.

Sources

CVE-2026-93885 — NVD

Priorisation DFS : P3 · 1 source(s).