Veille sécuritéCMS & e-commerce
P4Moyenne
Le plugin WordPress MP3 Audio Player avant la version 5.16 ne neutralise pas un attribut de shortcode avant son insertion dans un attribut HTML, ce qui permet une injection JavaScript stockée par un utilisateur disposant au minimum du rôle Contributor. Le script peut s’exécuter lorsqu’un autre utilisateur consulte le contenu, notamment lors de l’aperçu d’un article en attente ; mettre à jour vers la version 5.16 ou ultérieure.
JavaScriptWordPress
IdentifiantCVE-2026-111967
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif5.16
Source : NVD — CVE-2026-111967
Analyse technique
XSS stockée via un attribut de shortcode de lecteur audio insuffisamment échappé dans un attribut HTML.
Impact, versions et correctif
Événement datéFiche NVD publiée le 2026-10-28 ; vulnérabilité et version corrective indiquées dans les données du candidat.
ImpactExécution de JavaScript dans le navigateur d’un utilisateur consultant le contenu vulnérable.
Versions affectéesMP3 Audio Player avant 5.16
Version corrigée5.16
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.8
EPSS0,17% · percentile 6,5%
Publication2026-10-28T06:16:34.843Z
Mise à jour2026-10-28T18:17:08.780Z
Action recommandée
Mettre à jour le plugin vers la version 5.16 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).