Veille sécuritéCMS & e-commerce
P4Moyenne
UsersWP présente une XSS stockée via le paramètre badge dans toutes les versions jusqu’à 1.2.80 incluse. Un utilisateur authentifié ayant le rôle Contributor ou supérieur peut injecter du script, susceptible notamment de s’exécuter lorsqu’un utilisateur privilégié prévisualise un contenu en attente.
WordPress
IdentifiantCVE-2026-120671
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-120671
Analyse technique
XSS stockée associée au paramètre badge; la fiche indique une exploitation lors de la prévisualisation d’un article en attente.
Impact, versions et correctif
Événement datéFiche NVD publiée le 2026-11-06 à 09:17:00.483Z, dans la période demandée.
ImpactExécution de scripts arbitraires dans le navigateur d’utilisateurs consultant le contenu affecté.
Versions affectéesToutes les versions jusqu’à 1.2.80 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,21% · percentile 10,7%
Publication2026-11-06T09:17:00.483Z
Mise à jour2026-11-06T15:17:13.573Z
Sources
Priorisation DFS : P4 · 1 source(s).