Veille sécuritéCMS & e-commerce
P3Élevée
Slim Jetpack ne nettoie ni n’échappe suffisamment le champ de contact « Website », ce qui permet à des visiteurs non authentifiés d’enregistrer du script sur des pages utilisant le shortcode de formulaire de contact. Toutes les versions jusqu’à 2.7.0.1 inclus sont concernées ; aucune version corrigée n’est précisée dans les informations fournies.
WordPress
IdentifiantCVE-2026-115498
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-115498
Analyse technique
Les contrôles de nonce et d’authentification à la soumission ne s’appliquent qu’aux utilisateurs connectés ; la faille permet une XSS stockée.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-04, pendant la période demandée ; l’horodatage de publication est retenu.
ImpactUn visiteur non authentifié peut enregistrer du script qui s’exécutera pour les utilisateurs consultant une page injectée.
Versions affectéesSlim Jetpack jusqu’à 2.7.0.1 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
EPSS0,46% · percentile 40,3%
Publication2026-11-04T10:17:25.620Z
Mise à jour2026-11-04T21:17:51.813Z
Action recommandée
Vérifier la disponibilité d’une version corrigée auprès de l’éditeur et, dans l’intervalle, limiter l’exposition du shortcode de formulaire de contact.
Sources
Priorisation DFS : P3 · 1 source(s).