Veille sécuritéCMS & e-commerce
P4Moyenne
PO/MO Editor présente une XSS stockée via le paramètre podata, accessible à des utilisateurs authentifiés disposant au moins du rôle d’abonné. Le contenu injecté est chargé comme fichier de traduction de remplacement ; aucune version corrective n’est indiquée dans les données fournies.
WordPress
IdentifiantCVE-2026-97020
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-97020
Analyse technique
Des données insuffisamment filtrées et échappées sont chargées comme fichier .po/.mo via le filtre load_textdomain_mofile du plugin.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-14 ; cette date de publication est dans la période demandée.
ImpactUn utilisateur authentifié de niveau abonné ou supérieur peut injecter du script persistant susceptible de s’exécuter lors de l’affichage de pages.
Versions affectéesToutes les versions jusqu’à 1.4.2 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,26% · percentile 16,8%
Publication2026-10-14T04:19:04.767+00:00
Mise à jour2026-10-14T14:26:59.367+00:00
Action recommandée
Vérifier l’exposition du plugin et appliquer une version corrigée dès qu’elle est disponible ; en attendant, limiter les comptes à privilèges réduits et envisager la désactivation.
Sources
Priorisation DFS : P4 · 1 source(s).