Veille sécuritéCMS & e-commerce
P4Faible
LetterPress ne nettoie ni n’échappe certaines options, ce qui permet à des utilisateurs privilégiés, notamment des administrateurs, d’effectuer une XSS stockée. Le problème peut persister même lorsque la capacité `unfiltered_html` est désactivée, par exemple dans une configuration multisite.
WordPress
IdentifiantCVE-2024-3586
GravitéFaible
Exploitationnon connue / non déterminée
Correctif2.4.0
Source : NVD — CVE-2024-3586
Analyse technique
La fiche NVD indique que la version 2.4.0 corrige le problème.
Impact, versions et correctif
Événement datéPublication de la fiche NVD le 2026-10-29 à 06:17:16Z (08:17:16+02:00), dans la période demandée; la date de publication, et non l’année du CVE, détermine l’inclusion.
ImpactUn utilisateur privilégié peut injecter un script qui sera exécuté dans le navigateur lors de l’affichage du contenu concerné.
Versions affectéesVersions antérieures à 2.4.0.
Version corrigée2.4.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS3.5
EPSS0,16% · percentile 5,6%
Publication2026-10-29T08:17:16.020+02:00
Mise à jour2026-10-29T17:18:27.920+02:00
Action recommandée
Mettre à jour LetterPress vers la version 2.4.0 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).