Veille sécuritéCMS & e-commerce
P3Élevée
Independent Analytics Pro présente une XSS stockée via le paramètre `utm_campaign`, les entrées n’étant pas suffisamment nettoyées ni échappées. Les versions jusqu’à 2.15.5 inclus sont concernées; la vulnérabilité nécessite l’édition Pro active et peut être exploitée sans authentification après obtention d’un jeton signé sur une page publique.
WordPress
IdentifiantCVE-2026-104744
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-104744
Analyse technique
La signature vérifiée par le point de terminaison REST `/iawp/search` ne couvre pas les champs `utm_*`, permettant la réutilisation d’un jeton avec une valeur `utm_campaign` forgée.
Impact, versions et correctif
Événement datéPublication de la fiche NVD dans la période demandée, le 2026-10-30.
ImpactExécution de scripts dans les pages consultées par les visiteurs.
Versions affectéesToutes les versions jusqu’à 2.15.5 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
Publication2026-10-30T18:17:15.690Z
Mise à jour2026-10-30T19:17:58.207Z
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible; en attendant, désactiver l’édition Pro si elle n’est pas nécessaire.
Sources
Priorisation DFS : P3 · 1 source(s).