Veille sécuritéCMS & e-commerce
P3Élevée
Shield Security présente une XSS stockée via la valeur `REQUEST_URI` enregistrée dans le champ de chemin de son tableau de trafic. Toutes les versions jusqu’à 22.3.2 inclus sont concernées; la source décrit une exploitation possible sans authentification.
WordPress
IdentifiantCVE-2026-118057
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-118057
Analyse technique
La colonne `path`, masquée dans ForTraffic.php, n’a pas de fonction de rendu côté client; DataTables interprète donc son contenu via `innerHTML`. Un correctif antérieur portant sur la colonne `page` n’a pas échappé ce champ.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-31T08:16:48.903Z, dans la période demandée. Sa mise à jour du 2026-11-02 est postérieure à la période et n’est pas retenue.
ImpactDu script injecté peut être interprété et exécuté dans le navigateur des utilisateurs consultant les pages affectées.
Versions affectéesToutes les versions jusqu’à 22.3.2 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
EPSS0,24% · percentile 15,3%
Publication2026-10-31T08:16:48.903Z
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible; surveiller les pages et journaux de trafic susceptibles de contenir des chemins injectés.
Sources
Priorisation DFS : P3 · 1 source(s).