Veille sécuritéCMS & e-commerce
P4Moyenne
PublishPress Authors présente une XSS stockée via le nom d’auteur affiché. Les versions jusqu’à 4.17.0 inclus sont concernées; l’attaque requiert un compte authentifié à partir du rôle Subscriber et un terme d’auteur associé à ce compte.
WordPress
IdentifiantCVE-2026-111592
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-111592
Analyse technique
Le champ `name`, correspondant à `display_name`, est insuffisamment assaini ou échappé. La source précise que le compte doit avoir un terme d’auteur associé, par exemple après attribution comme co-auteur.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-31T08:16:48.463Z, dans la période demandée. Sa mise à jour du 2026-11-02 est postérieure à la période et n’est pas retenue.
ImpactUn utilisateur authentifié remplissant les conditions peut injecter du script exécuté à l’affichage du contenu affecté.
Versions affectéesToutes les versions jusqu’à 4.17.0 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,19% · percentile 9,0%
Publication2026-10-31T08:16:48.463Z
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible; vérifier les associations de termes d’auteur et les noms d’affichage concernés.
Sources
Priorisation DFS : P4 · 1 source(s).