Veille sécuritéCMS & e-commerce
P4Moyenne
Le plugin SEO Engine présente une XSS stockée via le paramètre « title », exploitable par un utilisateur authentifié disposant au moins du rôle Contributor. Les versions jusqu’à 0.9.9 incluse sont concernées; des valeurs encodées en entités HTML peuvent contourner le filtrage lors de l’enregistrement et être exécutées à l’affichage.
WordPress
IdentifiantCVE-2026-120552
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-120552
Analyse technique
Le défaut touche la sanitisation et l’échappement du titre; le contenu encodé peut être soumis via l’API REST WordPress et atteindre le point d’affichage vulnérable.
Impact, versions et correctif
Événement datéNouvelle vulnérabilité publiée par NVD dans la période, le 2026-11-03; la mise à jour de la fiche intervient également dans cette période.
ImpactUn script injecté peut s’exécuter dans le navigateur des personnes consultant une page compromise.
Versions affectéesJusqu’à la version 0.9.9 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,20% · percentile 9,6%
Publication2026-11-03T05:18:32.837Z
Mise à jour2026-11-03T19:17:58.853Z
Action recommandée
Mettre à jour le plugin lorsqu’un correctif est disponible; limiter les comptes disposant de droits de contribution et examiner les contenus suspects.
Sources
Priorisation DFS : P4 · 1 source(s).