Veille sécuritéCMS & e-commerce
P4Faible
Speed Optimizer antérieur à 7.8.5 n’assainit ni n’échappe certains paramètres avant de les insérer dans l’en-tête des pages publiques. Des utilisateurs privilégiés peuvent provoquer une XSS stockée, y compris dans des configurations où la capacité unfiltered_html est désactivée.
WordPress
IdentifiantCVE-2026-111737
GravitéFaible
Exploitationnon connue / non déterminée
Correctif7.8.5
Source : NVD — CVE-2026-111737
Analyse technique
Paramètres du plugin non assainis ou échappés avant leur insertion dans l’en-tête des pages publiques.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-23 à 06:17:05.790Z, dans la période demandée. La version corrigée indiquée dans les éléments du candidat est 7.8.5.
ImpactExécution de scripts dans les pages consultées par les visiteurs.
Versions affectéesVersions antérieures à 7.8.5
Version corrigée7.8.5
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS3.5
EPSS0,15% · percentile 4,1%
Publication2026-10-23T06:17:05.790Z
Mise à jour2026-10-23T14:20:57.920Z
Action recommandée
Mettre Speed Optimizer à jour vers la version 7.8.5 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).