Veille sécuritéCMS & e-commerce
P3Élevée
AMP for WP présente une XSS stockée liée à un attribut de shortcode « headline-* ». Les versions jusqu’à 1.1.17 inclus sont concernées ; la fiche décrit une voie où un utilisateur de niveau Abonné peut stocker le shortcode dans sa biographie, avec exécution du script dans des pages consultées par les visiteurs.
WordPress
IdentifiantCVE-2026-97019
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-97019
Analyse technique
La fiche attribue le problème à l’ordre de traitement des filtres KSES, des contenus AMP et des shortcodes, qui laisse le balisage synthétisé sans sanitisation finale.
Impact, versions et correctif
Événement datéPublication NVD le 2026-10-28T03:17:16.317Z, dans la période demandée. La mise à jour NVD du 2026-10-29 est hors période.
ImpactExécution de scripts dans le navigateur des visiteurs des pages affectées.
Versions affectéesAMP for WP jusqu’à 1.1.17 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
EPSS0,24% · percentile 14,6%
Publication2026-10-28T03:17:16.317Z
Action recommandée
Mettre à jour le plugin dès qu’une version corrigée est disponible et limiter la création de profils par des utilisateurs non fiables.
Sources
Priorisation DFS : P3 · 1 source(s).