Veille sécuritéCMS & e-commerce
P3Élevée
Un utilisateur disposant au minimum du rôle Abonné peut provoquer une attaque XSS stockée visant les administrateurs. La faille concerne l’affichage de l’URL de miniature dans la liste d’administration et sa sanitisation lors de certains enregistrements.
WordPress
IdentifiantCVE-2026-120408
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif5.1.0
Source : NVD — CVE-2026-120408
Analyse technique
L’URL de miniature stockée n’est pas échappée à l’affichage dans la liste des vidéos de l’administration, ni correctement assainie lorsqu’elle est écrite hors de l’éditeur du plugin.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-06T06:16:41.790Z, dans la période demandée; la vulnérabilité est retenue comme nouvelle, et non sur la seule base de son horodatage de mise à jour ultérieur.
ImpactUn utilisateur ayant le rôle Abonné ou un rôle supérieur peut injecter du script exécuté dans le navigateur d’un administrateur.
Versions affectéesAll-in-One Video Gallery avant 5.1.0
Version corrigée5.1.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8
EPSS0,15% · percentile 4,5%
Publication2026-11-06T06:16:41.790Z
Mise à jour2026-11-06T20:09:13.780Z
Action recommandée
Mettre à jour All-in-One Video Gallery vers la version 5.1.0 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).