Veille sécuritéCMS & e-commerce
P3Élevée
Le plugin RSS Aggregator by Feedzy permet une XSS stockée via l’URL de miniature d’un flux RSS, exploitable sans authentification si l’attaquant contrôle un flux déjà importé par le site. Les versions jusqu’à 5.2.11 inclus sont concernées ; aucune version corrigée ni mesure de contournement n’est indiquée dans la source.
WordPress
IdentifiantCVE-2026-109207
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-109207
Analyse technique
XSS stockée via le paramètre « media:thumbnail@url », due à une validation des entrées et à un échappement des sorties insuffisants. L’exploitation requiert le contrôle d’un flux RSS externe configuré pour importation.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-16 ; cette publication de la vulnérabilité, et non sa seule mise à jour ultérieure, est retenue.
ImpactExécution de scripts dans les pages consultées par les visiteurs, sous réserve du contrôle d’un flux importé.
Versions affectéesToutes les versions jusqu’à 5.2.11 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
EPSS0,31% · percentile 21,9%
Publication2026-10-16T04:18:26.583Z
Mise à jour2026-10-16T15:17:06.697Z
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible ; dans l’intervalle, éviter d’importer des flux RSS non fiables.
Sources
Priorisation DFS : P3 · 1 source(s).