Veille sécuritéCMS & e-commerce
P4Moyenne
Discussion Board – WordPress Forum Plugin jusqu’à la version 2.6.0 présente une XSS stockée dans le champ Website du profil utilisateur. Un utilisateur authentifié disposant au moins du rôle abonné peut injecter un script qui s’exécute sur une page de sujet contenant sa réponse ; la fiche NVD a été publiée pendant la période.
WordPress
IdentifiantCVE-2026-107765
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-107765
Analyse technique
La valeur `user_url` est insérée sans échappement approprié dans l’attribut `href` par le callback `ctdb_filter_comment_author_name()`.
Impact, versions et correctif
Événement datéPublication de la fiche NVD le 2026-10-31, dans la période demandée. La mise à jour NVD du 2026-11-02 est postérieure et n’est pas retenue comme événement.
ImpactExécution de scripts dans le navigateur des utilisateurs consultant un sujet contenant la réponse affectée.
Versions affectéesToutes les versions jusqu’à 2.6.0 inclusivement
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,19% · percentile 9,0%
Publication2026-10-31T07:16:34.070Z
Action recommandée
Mettre à jour le plugin dès qu’une version corrigée est disponible ; contrôler les liens de profil et les réponses publiées dans les sujets.
Sources
Priorisation DFS : P4 · 1 source(s).