Veille sécuritéCMS & e-commerce
P3Élevée
GoSMTP Pro présente une XSS stockée liée au contenu des commentaires dans le corps des journaux d’e-mails, exploitable sans authentification. Toutes les versions jusqu’à 1.2.3 incluse sont concernées ; la source ne fournit pas de version corrigée ni de contournement.
WordPress
IdentifiantCVE-2026-96768
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-96768
Analyse technique
Des délimiteurs de balises encodés en entités passent la modération des commentaires, puis sont décodés par les fonctions de notification de WordPress et enregistrés sans échappement dans la table des journaux du plugin.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-16, dans la période demandée ; la description porte sur une vulnérabilité, et non uniquement sur une modification administrative.
ImpactUn contenu de commentaire malveillant peut être enregistré puis exécuté dans les pages où le journal affecté est consulté.
Versions affectéesGoSMTP Pro jusqu’à 1.2.3 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
EPSS0,32% · percentile 23,1%
Publication2026-10-16T10:18:05.863Z
Mise à jour2026-10-16T15:17:37.680Z
Action recommandée
Vérifier auprès de l’éditeur si un correctif est disponible et mettre à jour le plugin sans délai.
Sources
Priorisation DFS : P3 · 1 source(s).