Veille sécuritéCMS & e-commerce
P3Élevée
Le plugin GeoDirectory pour WordPress présente une XSS stockée via le paramètre `post_content`, résultant d’un filtrage insuffisant des shortcodes imbriqués et de leurs attributs. La vulnérabilité concerne les versions jusqu’à 2.8.200 incluse et peut permettre l’injection de scripts dans des pages consultées par les utilisateurs.
WordPress
IdentifiantCVE-2026-120082
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-120082
Analyse technique
Le contournement décrit repose sur des shortcodes imbriqués qui échappent au retrait en un seul passage et sur des attributs encodés qui ne sont pas filtrés comme des balises HTML.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-07, dans la période demandée; l’item est retenu comme vulnérabilité publiée à cette date, et non sur la seule base de sa modification ultérieure.
ImpactInjection de scripts dans des pages consultées par les utilisateurs.
Versions affectéesToutes les versions jusqu’à 2.8.200 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
EPSS0,25% · percentile 16,0%
Publication2026-11-07T03:17:02.673Z
Mise à jour2026-11-07T18:17:16.290Z
Action recommandée
Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible; aucune version corrigée n’est indiquée dans les informations fournies.
Sources
Priorisation DFS : P3 · 1 source(s).