Veille sécuritéCMS & e-commerce
P4Moyenne
GeoDirectory avant la version 2.8.196 n’échappe pas correctement un attribut de shortcode de badge avant son insertion dans un gestionnaire d’événement JavaScript. Un utilisateur ayant le rôle Contributor ou supérieur peut ainsi créer du contenu provoquant une XSS stockée lorsque la victime, y compris un administrateur, clique sur le badge ; appliquer la version 2.8.196 ou ultérieure.
JavaScriptWordPress
IdentifiantCVE-2026-113488
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif2.8.196
Source : NVD — CVE-2026-113488
Analyse technique
Attribut de shortcode non échappé pour le contexte JavaScript d’un gestionnaire d’événement en ligne.
Impact, versions et correctif
Événement datéFiche NVD publiée le 2026-10-28 ; description et version corrective fournies dans le candidat.
ImpactExécution de JavaScript dans le navigateur d’une personne cliquant sur le badge vulnérable.
Versions affectéesGeoDirectory avant 2.8.196
Version corrigée2.8.196
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.8
EPSS0,17% · percentile 6,5%
Publication2026-10-28T06:16:35.287Z
Mise à jour2026-10-28T18:17:09.510Z
Action recommandée
Mettre à jour GeoDirectory vers la version 2.8.196 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).