Le plugin Simple CAPTCHA with Cloudflare Turnstile pour WordPress, dans les versions jusqu’à 1.44.3 incluses, permet une XSS stockée via l’attribut id du shortcode [gravity-simple-turnstile]. Un contributeur authentifié ou un utilisateur de niveau supérieur peut injecter du script exécuté à l’affichage de la page; aucune version corrigée n’est indiquée dans les informations fournies.
Source : NVD — CVE-2026-93900
Analyse technique
La valeur id est filtrée avec des fonctions qui ne neutralisent pas les caractères concernés, puis émise par esc_js dans une expression JavaScript brute, hors chaîne littérale.
Impact, versions et correctif
Action recommandée
Éviter d’accepter des valeurs non fiables dans l’attribut id du shortcode et appliquer une mise à jour corrective dès qu’elle est disponible.
Sources
Priorisation DFS : P4 · 1 source(s).