Veille sécuritéCMS & e-commerce
P4Moyenne
CVE-2026-103908 permet l’exécution de shortcodes arbitraires dans AMP for WP en l’absence de validation appropriée avant l’appel à do_shortcode(). Toutes les versions jusqu’à 1.1.18 incluse sont concernées ; le bloc de sortie concerné dépend d’un réglage activé par défaut.
WordPress
IdentifiantCVE-2026-103908
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-103908
Analyse technique
Une valeur non validée est passée à do_shortcode() dans le bloc de sortie concerné.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication initiale le 2026-11-06 ; cette divulgation est dans la période demandée, indépendamment de ses modifications administratives.
ImpactExécution de shortcodes sous l’identité de l’utilisateur qui contrôle l’entrée vulnérable.
Versions affectéesToutes les versions jusqu’à 1.1.18 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.4
Publication2026-11-06T12:17:15.650Z
Mise à jour2026-11-06T16:17:07.113Z
Détection / vérification
Le réglage ampforwp-cat-description est activé par défaut ; un compte avec un accès personnalisé ou supérieur est requis.
Action recommandée
Mettre à jour le plugin dès qu’un correctif est disponible et examiner la désactivation du réglage concerné si elle est possible.
Sources
Priorisation DFS : P4 · 1 source(s).