Veille sécuritéCMS & e-commerce
P4Moyenne
All-in-One Video Gallery présente une XSS stockée liée au champ « custom_fields[embedcode] ». Les versions jusqu’à 4.9.7 inclus sont concernées ; la fiche indique une exploitation possible via XML-RPC par un utilisateur authentifié disposant au moins du rôle Abonné.
WordPress
IdentifiantCVE-2026-109209
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-109209
Analyse technique
Le gestionnaire save_meta_data() peut ignorer la sanitisation lorsque post_type est absent ; la fiche signale aussi une capacité de publication accordée aux abonnés.
Impact, versions et correctif
Événement datéPublication NVD le 2026-10-28T03:17:09.183Z, dans la période demandée. La mise à jour NVD du 2026-10-29 est hors période.
ImpactExécution de scripts dans le navigateur des personnes consultant le contenu affecté.
Versions affectéesAll-in-One Video Gallery jusqu’à 4.9.7 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,21% · percentile 10,8%
Publication2026-10-28T03:17:09.183Z
Action recommandée
Mettre à jour le plugin dès qu’une version corrigée est disponible et restreindre l’accès XML-RPC si son usage n’est pas nécessaire.
Sources
Priorisation DFS : P4 · 1 source(s).