Veille sécuritéCMS & e-commerce
P4Moyenne
Directorist présente une XSS stockée via le champ de téléphone d’une annonce, exploitable par un utilisateur authentifié disposant au minimum d’un rôle abonné. Les versions jusqu’à 8.10.2.1 incluse sont concernées ; aucune version corrigée ni mesure de contournement n’est indiquée dans la source.
WordPress
IdentifiantCVE-2026-100185
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-100185
Analyse technique
Le plugin accorde aux abonnés les capacités edit_at_biz_dirs et publish_at_biz_dirs, leur permettant de soumettre et publier des annonces sans modération.
Impact, versions et correctif
Événement datéRetenue comme nouvelle vulnérabilité : la fiche indique une date de publication NVD dans la période, le 2026-10-14. La date de mise à jour NVD est également dans la période, mais n’est pas à elle seule considérée comme l’événement déclencheur.
ImpactUn abonné peut injecter du script dans une annonce, exécuté lorsque celle-ci est consultée.
Versions affectéesToutes les versions jusqu’à 8.10.2.1 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,25% · percentile 15,6%
Publication2026-10-14T04:18:03.807Z
Mise à jour2026-10-14T14:26:59.367Z
Action recommandée
Mettre à jour vers une version corrigée lorsqu’elle sera disponible ; limiter les rôles autorisés à publier des annonces et modérer les annonces soumises.
Sources
Priorisation DFS : P4 · 1 source(s).