Veille sécuritéCMS & e-commerce
P3Élevée
SiteOrigin CSS présente une XSS stockée de type DOM via le champ « Website » des commentaires, affectant le paramètre url (comment_author_url). La description indique qu’un attaquant non authentifié peut soumettre une valeur encodée qui survit au traitement puis est interprétée comme du contenu exécutable par le navigateur.
WordPress
IdentifiantCVE-2026-107764
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-107764
Analyse technique
Selon la description, esc_url() conserve des caractères encodés en entités HTML, ensuite décodés par le navigateur au point d’utilisation.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-16, dans la période demandée; l’information retenue est la vulnérabilité décrite, et non la seule date de modification de la fiche.
ImpactExécution de scripts dans le navigateur des visiteurs consultant les pages affectées.
Versions affectéesToutes les versions jusqu’à 1.6.7 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
EPSS0,24% · percentile 13,6%
Publication2026-10-16T06:17:06.380Z
Mise à jour2026-10-16T15:17:05.660Z
Action recommandée
Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible; modérer les commentaires contenant une URL suspecte.
Sources
Priorisation DFS : P3 · 1 source(s).