Veille sécuritéCMS & e-commerce
P4Moyenne
Enable SVG, WebP, and ICO Upload avant la version 1.1.6 ne nettoie pas les fichiers téléversés qu’il ne reconnaît pas comme SVG, même s’il les stocke et les sert ensuite comme des images SVG. Des utilisateurs disposant du rôle Auteur ou supérieur peuvent exploiter cette faiblesse pour une attaque XSS stockée ; mettez le plugin à jour vers la version 1.1.6 ou ultérieure.
WordPress
IdentifiantCVE-2026-110504
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif1.1.6
Source : NVD — CVE-2026-110504
Analyse technique
Des SVG dont le contenu n’est pas détecté comme SVG échappent à l’assainissement puis sont servis comme images SVG.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-29, dans la période demandée ; l’entrée décrit une vulnérabilité, et non seulement une modification administrative.
ImpactExécution de scripts côté client via une attaque XSS stockée.
Versions affectéesEnable SVG, WebP, and ICO Upload < 1.1.6
Version corrigée1.1.6
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.8
EPSS0,16% · percentile 5,6%
Publication2026-10-29T06:17:18.283Z
Mise à jour2026-10-29T15:18:27.920Z
Action recommandée
Mettre à jour Enable SVG, WebP, and ICO Upload vers la version 1.1.6 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).