Veille sécuritéCMS & e-commerce
P4Moyenne
SEOPress présente une XSS stockée via le paramètre `display_name`. Toutes les versions jusqu’à 10.3 inclus sont concernées; un utilisateur authentifié ayant au moins le rôle Subscriber peut déclencher le problème en configurant un nom contenant le jeton `%%archive_title%%` et un contenu HTML malveillant.
WordPress
IdentifiantCVE-2026-116535
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-116535
Analyse technique
Le jeton est substitué après l’échappement, ce qui permet au contenu HTML fourni dans le nom d’affichage de contourner cette protection.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-31T08:16:48.757Z, dans la période demandée. Sa mise à jour du 2026-11-02 est postérieure à la période et n’est pas retenue.
ImpactUn utilisateur authentifié de faible privilège peut provoquer l’exécution de script dans le navigateur des visiteurs des pages affectées.
Versions affectéesToutes les versions jusqu’à 10.3 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,24% · percentile 14,5%
Publication2026-10-31T08:16:48.757Z
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible; examiner les noms d’affichage et limiter les comptes peu privilégiés selon les besoins.
Sources
Priorisation DFS : P4 · 1 source(s).