Veille sécuritéCMS & e-commerce
P4Moyenne
WP Job Portal est vulnérable à une XSS stockée via le paramètre « degreetitle » dans les versions jusqu’à 2.7.0 incluses. L’attaque requiert un compte de niveau Subscriber ou supérieur; le flux d’inscription du plugin pouvant créer un compte Employer fondé sur Subscriber, un visiteur peut exploiter la faille si l’inscription est disponible.
WordPress
IdentifiantCVE-2026-116546
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-116546
Analyse technique
Assainissement insuffisant de l’entrée et échappement insuffisant de la sortie du paramètre « degreetitle », permettant l’injection de scripts stockés.
Impact, versions et correctif
Événement datéFiche NVD publiée le 2026-10-31T07:16:35.563Z, dans la période retenue; la mise à jour NVD du 2026-11-02 est postérieure et n’est pas retenue.
ImpactUn attaquant pouvant obtenir un compte Subscriber ou supérieur peut injecter du script exécuté lorsque des utilisateurs consultent la page affectée.
Versions affectéesToutes les versions jusqu’à 2.7.0 incluses
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,21% · percentile 10,6%
Publication2026-10-31T07:16:35.563Z
Sources
Priorisation DFS : P4 · 1 source(s).