Veille sécuritéCMS & e-commerce
P4Moyenne
CVE-2026-110017 est une XSS persistante dans Quick PayPal Payments via le paramètre form, dans les versions jusqu’à 6.0.4 incluse. Un compte authentifié disposant au minimum du rôle contributeur peut injecter un script dans un contenu consulté par d’autres utilisateurs.
WordPress
IdentifiantCVE-2026-110017
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-110017
Analyse technique
Selon la fiche, wp_kses_post retire les balises HTML mais laisse passer une charge avec guillemets échappant le contexte, sans chevrons. La charge peut notamment être exécutée lorsqu’un éditeur ou administrateur prévisualise un contenu en attente.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-16 ; cette publication est l’événement retenu dans la période.
ImpactLe script injecté peut s’exécuter pour les personnes consultant le contenu, y compris des éditeurs et administrateurs.
Versions affectéesQuick PayPal Payments jusqu’à 6.0.4 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,20% · percentile 9,3%
Publication2026-10-16T06:17:08.810Z
Mise à jour2026-10-16T15:17:09.230Z
Action recommandée
Mettre à jour Quick PayPal Payments lorsqu’un correctif est disponible ; la source ne précise pas de version corrigée.
Sources
Priorisation DFS : P4 · 1 source(s).