Veille sécuritéCMS & e-commerce
P4Moyenne
Le paramètre de recherche mcs de My Calendar peut transmettre des valeurs à do_shortcode() sans neutraliser les crochets, permettant à un attaquant non authentifié d’exécuter des shortcodes enregistrés. Cela peut servir à injecter du contenu ou à usurper l’apparence d’une page.
WordPress
IdentifiantCVE-2026-119714
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif3.8.11
Source : NVD — CVE-2026-119714
Analyse technique
La valeur de mcs est transmise à mc_search_results() dans src/my-calendar-search.php, puis traitée par do_shortcode().
Impact, versions et correctif
Événement datéLa fiche NVD indique une première publication le 2026-10-30, dans la période; la version corrigée 3.8.11 est indiquée dans le contenu de la fiche.
ImpactExécution de shortcodes enregistrés pouvant permettre l’injection ou l’usurpation de contenu.
Versions affectéesVersion 3.8.8 et versions antérieures à 3.8.11
Version corrigée3.8.11
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.9
Publication2026-10-30T16:17:54.713Z
Mise à jour2026-10-30T19:23:25.493Z
Action recommandée
Mettre à jour My Calendar vers la version 3.8.11 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).