Veille sécuritéCMS & e-commerce
P3Élevée
Le plugin iubenda pour WordPress présente une XSS stockée liée au retrait puis à la restauration de fragments HTML dans les commentaires. La vulnérabilité concerne les versions jusqu’à 3.13.6 incluse et peut être exploitée après approbation d’un commentaire par un administrateur.
WordPress
IdentifiantCVE-2026-120540
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-120540
Analyse technique
La restauration de fragments par le parseur HTML embarqué réinsère des données dans des valeurs d’attribut sans rééchappement.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-07, dans la période demandée; l’item est retenu comme vulnérabilité publiée à cette date, et non sur la seule base de sa modification ultérieure.
ImpactInjection de scripts dans les pages affichant le contenu concerné après approbation du commentaire.
Versions affectéesToutes les versions jusqu’à 3.13.6 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
EPSS0,25% · percentile 16,0%
Publication2026-11-07T03:17:03.690Z
Mise à jour2026-11-07T18:17:17.640Z
Action recommandée
Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible; aucune version corrigée n’est indiquée dans les informations fournies.
Sources
Priorisation DFS : P3 · 1 source(s).