Veille sécuritéCMS & e-commerce
P4Moyenne
Media Library Assistant n’échappait pas un attribut de shortcode avant de l’insérer dans l’attribut d’un lien généré, permettant une attaque XSS stockée à des utilisateurs ayant le rôle Contributeur ou supérieur. Mettre à jour vers la version 3.44 ou ultérieure.
WordPress
IdentifiantCVE-2026-113482
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif3.44
Source : NVD — CVE-2026-113482
Analyse technique
XSS stockée via un attribut de shortcode insuffisamment échappé. Le score indiqué dans l’avis GitHub est 6.8; il est conservé ici pour cette CVE uniquement.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-01, dans la période demandée. L’avis GitHub consulté indique également une publication le 1er novembre 2026.
ImpactExécution de scripts côté navigateur dans le contexte des visiteurs concernés.
Versions affectéesMedia Library Assistant avant 3.44
Version corrigée3.44
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.8 · CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:H
EPSS0,15% · percentile 4,4%
Publication2026-11-01T05:18:57.247Z
Détection / vérification
Vérifier la version de Media Library Assistant; les versions antérieures à 3.44 sont concernées.
Action recommandée
Mettre à jour Media Library Assistant vers la version 3.44 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).