Veille sécuritéCMS & e-commerce
P4Moyenne
Countdown Timer – Widget Countdown est affecté par une XSS stockée dans l’attribut de shortcode redirect_url, exploitable par un utilisateur authentifié ayant au moins le rôle contributeur. Sont concernées les versions jusqu’à 3.0.1 incluse ; la source ne précise pas de correctif ni de contournement.
WordPress
IdentifiantCVE-2026-16495
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-16495
Analyse technique
L’entrée stockée dans l’attribut redirect_url peut conduire à l’exécution de script lorsque la page concernée est consultée.
Impact, versions et correctif
Événement datéRetenue comme nouvelle vulnérabilité : la fiche indique une date de publication NVD dans la période, le 2026-10-14. La date de mise à jour NVD est également dans la période, mais n’est pas à elle seule considérée comme l’événement déclencheur.
ImpactUn contributeur peut injecter du script exécuté dans le navigateur des visiteurs.
Versions affectéesToutes les versions jusqu’à 3.0.1 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,21% · percentile 9,8%
Publication2026-10-14T04:18:18.150Z
Mise à jour2026-10-14T15:17:19.290Z
Action recommandée
Mettre à jour vers une version corrigée lorsqu’elle sera disponible ; limiter les droits de création de contenu et examiner les shortcodes concernés.
Sources
Priorisation DFS : P4 · 1 source(s).