Veille sécuritéCMS & e-commerce
P3Élevée
Le plugin DSGVO All in one for WP présente une XSS stockée déclenchée par un commentaire, sous certaines configurations. Les versions jusqu’à 5.0 incluse sont concernées ; l’exploitation nécessite l’activation de l’intégration Google Tag Manager et de l’option bêta de remplacement automatique, ainsi que l’approbation du commentaire.
WordPress
IdentifiantCVE-2026-96741
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-96741
Analyse technique
Une corruption par expression régulière lors du traitement du tampon de sortie, combinée à une sanitisation et un échappement insuffisants, permet l’injection de scripts.
Impact, versions et correctif
Événement datéLa fiche NVD indique une première publication le 2026-10-29T04:18:45.600Z, dans la période demandée ; l’item est retenu comme vulnérabilité nouvellement publiée, et non sur la seule base de sa modification ultérieure.
ImpactExécution de scripts dans le navigateur des visiteurs consultant une page affectée.
Versions affectéesToutes les versions jusqu’à 5.0 incluse
ContournementDésactiver l’intégration Google Tag Manager ou l’option bêta de remplacement automatique jusqu’à mise à jour.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
EPSS0,24% · percentile 14,7%
Publication2026-10-29T04:18:45.600Z
Mise à jour2026-10-29T14:56:26.107Z
Action recommandée
Mettre à jour le plugin lorsqu’un correctif est disponible ; désactiver les options d’intégration concernées si elles ne sont pas nécessaires.
Sources
Priorisation DFS : P3 · 1 source(s).