Veille sécuritéCMS & e-commerce
P3Élevée
WebP Express n’échappe pas certaines valeurs réémises dans des attributs d’éléments par son analyseur HTML intégré, lorsque le mode de diffusion d’image non standard est activé. Un utilisateur non authentifié peut ainsi soumettre du contenu qui provoque une XSS stockée chez les personnes consultant une page affectée ; les versions antérieures à 0.25.16 sont concernées.
WordPress
IdentifiantCVE-2026-97328
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif0.25.16
Source : NVD — CVE-2026-97328
Analyse technique
Des valeurs réémises dans des attributs HTML ne sont pas échappées par l’analyseur intégré ; l’exploitation dépend de l’activation d’un mode de diffusion d’image non standard.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-22 à 06:17:15Z, soit pendant la période demandée.
ImpactLe script injecté peut s’exécuter dans le navigateur de tout utilisateur consultant une page affectée, notamment un administrateur.
Versions affectéesWebP Express antérieur à 0.25.16 ; mode de diffusion d’image non standard requis.
Version corrigée0.25.16
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
EPSS0,17% · percentile 6,4%
Publication2026-10-22T08:17:15.930+02:00
Mise à jour2026-10-22T17:16:14.027+02:00
Action recommandée
Mettre à jour WebP Express vers la version 0.25.16 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).