Veille sécuritéCMS & e-commerce
P3Élevée
CVE-2026-109990 affecte le plug-in WordPress Flying Scripts jusqu’à la version 1.2.4 : une entrée « comment » insuffisamment protégée peut conduire à une XSS stockée, déclenchée lorsqu’un visiteur consulte une page modifiée. Mettez à jour le plug-in si un correctif est disponible et vérifiez les pages concernées ainsi que les scripts injectés.
JavaScriptWordPress
IdentifiantCVE-2026-109990
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-109990
Analyse technique
XSS stockée non authentifiée via le paramètre « comment », avec transformation dangereuse de contenu par le réécrivain de tampon de sortie du plug-in.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-16T04:18:26.860Z, soit le 2026-10-16T06:18:26+02:00, dans la période retenue.
ImpactExécution de scripts dans le navigateur des personnes consultant une page affectée.
Versions affectéesFlying Scripts: Delay JavaScript to Improve Site Speed & Performance jusqu’à 1.2.4 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
EPSS0,33% · percentile 24,8%
Publication2026-10-16T06:18:26+02:00
Mise à jour2026-10-16T15:17:08.450Z
Action recommandée
Mettre à jour le plug-in si une version corrigée est disponible et examiner les pages susceptibles d’avoir reçu du contenu malveillant.
Sources
Priorisation DFS : P3 · 1 source(s).