Veille sécuritéCMS & e-commerce
P3Élevée
Le proxy de Stape Conversion Tracking ne valide pas le sous-chemin ajouté à son point de terminaison amont. Une personne non authentifiée peut provoquer des requêtes côté serveur vers des hôtes arbitraires et faire renvoyer leur réponse depuis l’origine du site, avec des risques de SSRF et de XSS ; la version corrigée indiquée est 2.3.11.
WordPress
IdentifiantCVE-2026-118422
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif2.3.11
Source : NVD — CVE-2026-118422
Analyse technique
Le problème peut notamment atteindre des hôtes de bouclage et des hôtes internes ; la réponse est renvoyée avec son type de contenu et des en-têtes de sécurité retirés.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-04, pendant la période demandée ; l’horodatage de publication est retenu.
ImpactDes visiteurs non authentifiés peuvent détourner des requêtes du serveur et provoquer le renvoi de contenu potentiellement actif depuis le site.
Versions affectéesStape Conversion Tracking avant 2.3.11
Version corrigée2.3.11
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.1
EPSS0,21% · percentile 10,6%
Publication2026-11-04T06:17:03.070Z
Mise à jour2026-11-04T15:17:38.553Z
Action recommandée
Mettre Stape Conversion Tracking à jour vers la version 2.3.11 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).