Veille sécuritéCMS & e-commerce
P4Non déterminée
PPWP – Password Protect Pages présente une XSS stockée via des valeurs de commentaire ou des attributs de shortcode insuffisamment assainis. La description indique que l’injection peut être soumise sans authentification ; la version corrigée n’est pas confirmée par les informations disponibles dans la période.
WordPress
IdentifiantCVE-2026-116520
GravitéNon déterminée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-116520
Analyse technique
XSS stockée via desc_below_form (et placeholder comme mécanisme auxiliaire) dans des commentaires, avec possibilité d’approbation automatique de commentaires ultérieurs selon les conditions décrites.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-31T06:16:32.630Z, soit 08:16:32 en +02:00, dans la période. Son horodatage de mise à jour est postérieur à la borne et n’est pas utilisé.
ImpactExécution de scripts dans le navigateur des visiteurs de pages affectées.
Versions affectéesJusqu’à 1.9.26 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
EPSS0,38% · percentile 32,4%
Publication2026-10-31T08:16:32+02:00
Action recommandée
Mettre à jour vers une version corrigée dès sa confirmation et contrôler les commentaires approuvés automatiquement.
Sources
Priorisation DFS : P4 · 1 source(s).