Veille sécuritéCMS & e-commerce
P4Moyenne
Post Snippets permet à des utilisateurs authentifiés de niveau Contributor ou supérieur d’injecter du JavaScript persistant dans les attributs de shortcode, lorsque les shortcodes de snippets sont activés. Les versions jusqu’à 4.2.4 incluse sont concernées ; aucun correctif n’est précisé dans les éléments fournis.
WordPress
IdentifiantCVE-2026-77871
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-77871
Analyse technique
Des valeurs encodées échappent au filtrage à l’enregistrement, puis sont réinterprétées en HTML lors du rendu du shortcode.
Impact, versions et correctif
Événement datéFiche NVD publiée le 2026-10-28, dans la période retenue ; sa mise à jour du 2026-10-29 est postérieure à la période.
ImpactExécution de scripts dans le navigateur des visiteurs des pages utilisant les shortcodes concernés.
Versions affectéesToutes les versions jusqu’à 4.2.4 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,24% · percentile 15,2%
Publication2026-10-28T07:16:49.377Z
Mise à jour2026-10-29T02:16:53.793Z
Action recommandée
Désactiver les shortcodes de snippets si possible et appliquer une version corrigée lorsqu’elle sera disponible.
Sources
Priorisation DFS : P4 · 1 source(s).