Veille sécuritéCMS & e-commerce
P3Élevée
TranslatePress présente une vulnérabilité de XSS stockée via le paramètre « comment ». L’exploitation est possible sans authentification, mais requiert notamment un commentaire antérieur approuvé pour la même paire nom/adresse électronique et une langue secondaire configurée.
WordPress
IdentifiantCVE-2026-119167
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-119167
Analyse technique
La faille découle d’une validation insuffisante des entrées et d’un échappement insuffisant en sortie; l’exploitation dépend des conditions de modération des commentaires de WordPress.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-07, dans la période demandée.
ImpactDu script injecté peut s’exécuter dans les pages consultées par les visiteurs.
Versions affectéesToutes les versions jusqu’à 3.3.8 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
EPSS0,31% · percentile 23,6%
Publication2026-11-07T05:18:06.850Z
Mise à jour2026-11-07T18:17:14.800Z
Action recommandée
Mettre à jour TranslatePress dès qu’une version corrigée est disponible et examiner les commentaires approuvés concernés.
Sources
Priorisation DFS : P3 · 1 source(s).