Veille sécuritéCMS & e-commerce
P4Moyenne
Posts Table with Search & Sort présente une XSS stockée dans le paramètre date_format, dans toutes les versions jusqu’à 1.4.14 incluse. Un utilisateur authentifié ayant le rôle Contributor ou supérieur peut injecter un script qui s’exécute lorsqu’une page affectée est consultée.
WordPress
IdentifiantCVE-2026-118189
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-118189
Analyse technique
La charge échappe à wp_kses_post lors de l’enregistrement, car les balises sont reconstruites au rendu.
Impact, versions et correctif
Événement datéFiche NVD publiée le 2026-11-06 à 09:17:00.310Z, dans la période demandée.
ImpactExécution de scripts arbitraires dans le navigateur des visiteurs de pages affectées.
Versions affectéesToutes les versions jusqu’à 1.4.14 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,21% · percentile 10,9%
Publication2026-11-06T09:17:00.310Z
Mise à jour2026-11-06T15:17:11.577Z
Sources
Priorisation DFS : P4 · 1 source(s).