Veille sécuritéCMS & e-commerce
P4Non déterminée
Une valeur du contenu d’un article n’est pas suffisamment assainie ni restreinte avant d’être utilisée pour charger et exécuter dynamiquement un script. Un utilisateur authentifié ayant au moins le rôle d’auteur peut injecter un script exécuté dans la session des personnes qui consultent la page; les versions 8.7.4 à 8.9.0 d’EWWW Image Optimizer restent concernées.
WordPress
IdentifiantCVE-2026-91049
GravitéNon déterminée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-91049
Analyse technique
La fiche décrit un contournement des restrictions d’origine et de chemin introduites à partir de la version 8.7.4; il s’agit d’un correctif incomplet de CVE-2026-15446.
Impact, versions et correctif
Événement datéNouvelle fiche CVE publiée par la NVD le 2026-11-05, dans la période demandée.
ImpactExécution de scripts injectés dans la session de tout visiteur de la page affectée, y compris les administrateurs.
Versions affectéesEWWW Image Optimizer 8.7.4 à 8.9.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
EPSS0,17% · percentile 6,3%
Publication2026-11-05T06:17:10.317Z
Mise à jour2026-11-05T15:06:27.350Z
Action recommandée
Mettre à jour vers EWWW Image Optimizer 8.9.1 ou ultérieur.
Sources
Priorisation DFS : P4 · 1 source(s).