Veille sécuritéCMS & e-commerce
P4Moyenne
Smart Cookie Kit jusqu’à la version 2.3.2 incluse comporte une XSS stockée liée au paramètre comment; l’attaque nécessite notamment l’approbation du commentaire par un administrateur et l’affichage du contenu concerné. Mettre à jour dès qu’un correctif est disponible et modérer les commentaires suspects avant leur approbation.
WordPress
IdentifiantCVE-2026-119178
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-119178
Analyse technique
Le contenu malveillant peut traverser l’assainissement à l’enregistrement et être reconstruit en attribut HTML lors du rendu par le plugin. L’exécution suppose l’approbation du commentaire et la consultation du billet public affecté.
Impact, versions et correctif
Événement datéLa fiche NVD indique une première publication le 2026-11-06, dans la période retenue; il s’agit d’une vulnérabilité nouvellement publiée, et non d’une simple modification administrative.
ImpactUn script injecté peut s’exécuter dans le navigateur d’un visiteur consultant le billet affecté après approbation du commentaire.
Versions affectéesToutes les versions jusqu’à 2.3.2 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.4
Publication2026-11-06T12:17:19.287Z
Mise à jour2026-11-06T15:17:12.307Z
Action recommandée
Mettre à jour le plugin dès qu’un correctif est disponible et examiner avec prudence les commentaires avant approbation.
Sources
Priorisation DFS : P4 · 1 source(s).