Veille sécuritéCMS & e-commerce
P4Moyenne
Le plugin Ultimate Member est vulnérable à une XSS stockée via le paramètre `user_url` ; l’exploitation requiert un compte authentifié disposant au moins du rôle d’abonné et l’interaction d’un visiteur avec le lien du profil. Les versions jusqu’à 2.14.0 inclus sont concernées, et aucune version corrigée n’est précisée dans les données fournies.
WordPress
IdentifiantCVE-2026-107625
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-107625
Analyse technique
XSS stockée causée par une validation et un échappement insuffisants de `user_url`.
Impact, versions et correctif
Événement datéRetenue comme nouvelle vulnérabilité : la date de publication indiquée par NVD, 2026-10-28T03:17:08.890Z, correspond au 2026-10-28T05:17:08.890+02:00, dans la période demandée.
ImpactUn script injecté peut s’exécuter lorsqu’un visiteur clique sur le lien du site Web présent dans un profil Ultimate Member.
Versions affectéesToutes les versions jusqu’à 2.14.0 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,19% · percentile 9,0%
Publication2026-10-28T05:17:08.890+02:00
Mise à jour2026-10-28T19:17:32.210+02:00
Action recommandée
Vérifier la disponibilité d’une version corrigée et la déployer dès sa publication ; dans l’intervalle, limiter les comptes autorisés à publier des profils et examiner les liens de profil suspects.
Sources
Priorisation DFS : P4 · 1 source(s).