Veille sécuritéCMS & e-commerce
P4Moyenne
WooCommerce Extra Product Options Pro présente une XSS réfléchie via les paramètres `_start` et `_end` jusqu’à la version 3.3.2 incluse. L’exploitation est possible sur une page produit configurée avec un champ Date & Time Range Picker et nécessite d’inciter une victime à suivre un lien piégé.
WooCommerceWordPress
IdentifiantCVE-2026-104926
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-104926
Analyse technique
Le défaut concerne l’assainissement des paramètres `_start` et `_end` et leur échappement dans le rendu de la page produit.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-31 ; cette publication est l’événement retenu. La mise à jour du 2026-11-02 est postérieure à la période.
ImpactExécution de scripts dans le navigateur d’un visiteur de la page produit.
Versions affectéesToutes les versions jusqu’à 3.3.2 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.1
EPSS0,27% · percentile 19,2%
Publication2026-10-31T10:16:36.273Z
Mise à jour2026-11-02T16:19:19.997Z
Action recommandée
Mettre à jour vers une version corrigée lorsqu’elle est disponible ; examiner les pages produit utilisant le sélecteur de plage de date et d’heure.
Sources
Priorisation DFS : P4 · 1 source(s).