Veille sécuritéCMS & e-commerce
P3Élevée
Affiliate-toolkit présente une XSS stockée via « atkp_product_producturl ». Les versions jusqu’à 3.9.2 inclus sont concernées ; la fiche indique que l’exploitation peut être non authentifiée si une option de chargement AJAX pertinente est activée, et qu’elle requiert sinon au moins le rôle Contributeur.
WordPress
IdentifiantCVE-2026-111314
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-111314
Analyse technique
La fiche signale une validation et un échappement insuffisants du paramètre, avec une condition d’exploitation liée aux options de chargement ou de gestionnaire AJAX.
Impact, versions et correctif
Événement datéPublication NVD le 2026-10-28T03:17:09.817Z, dans la période demandée. La mise à jour NVD du 2026-10-29 est hors période.
ImpactExécution de scripts dans le navigateur des visiteurs du contenu affecté.
Versions affectéesaffiliate-toolkit jusqu’à 3.9.2 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
EPSS0,24% · percentile 15,2%
Publication2026-10-28T03:17:09.817Z
Action recommandée
Mettre à jour le plugin dès qu’une version corrigée est disponible ; désactiver les options AJAX concernées si possible.
Sources
Priorisation DFS : P3 · 1 source(s).