Veille sécuritéCMS & e-commerce
P4Moyenne
La fiche NVD publiée le 14 octobre 2026 signale une XSS stockée dans GeoDirectory – WP Business Directory Plugin and Classified Listings Directory, affectant toutes les versions jusqu’à 2.8.190 incluse. Des utilisateurs authentifiés disposant au moins du rôle d’abonné peuvent injecter du script via le titre contenu dans `post_images`; aucun correctif n’est indiqué dans les éléments reçus.
WordPress
IdentifiantCVE-2026-107754
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-107754
Analyse technique
XSS stockée via `post_images` (titre `file_info[2]`), due à une validation ou un échappement insuffisant selon la description fournie.
Impact, versions et correctif
Événement datéRetenue comme nouvelle vulnérabilité : publication NVD le 14 octobre 2026, dans la période demandée. Aucune version corrigée n’est indiquée dans les éléments fournis.
ImpactL’exécution de scripts dans le navigateur des visiteurs de pages contenant le contenu injecté.
Versions affectéesGeoDirectory – WP Business Directory Plugin and Classified Listings Directory, toutes versions jusqu’à 2.8.190 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,27% · percentile 17,7%
Publication2026-10-14T10:17:04.723+02:00
Mise à jour2026-10-14T20:17:25.990+02:00
Action recommandée
Mettre à jour GeoDirectory dès qu’un correctif est disponible; limiter les droits de publication et surveiller les données de titres d’images soumises.
Sources
Priorisation DFS : P4 · 1 source(s).