Veille sécuritéCMS & e-commerce
P4Moyenne
AAA Autoload Optimizer jusqu’à la version 1.7.0 incluse présente une XSS stockée exploitable par un utilisateur authentifié de niveau abonné ou supérieur lorsque le suivi des options est en mode Legacy. Mettre à jour dès qu’un correctif est disponible et, en attendant, désactiver le mode Legacy si possible.
WordPress
IdentifiantCVE-2026-119211
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-119211
Analyse technique
Le filtre vulnérable s’exécute avant le contrôle de capacité dans wp-admin/options.php; le retour HTTP 403 ne suffit donc pas à empêcher l’injection dans les conditions décrites.
Impact, versions et correctif
Événement datéLa fiche NVD indique une première publication le 2026-11-06, dans la période retenue; il s’agit d’une vulnérabilité nouvellement publiée, et non d’une simple modification administrative.
ImpactUn utilisateur authentifié de niveau abonné ou supérieur peut injecter un script stocké exécuté par les personnes consultant une page affectée.
Versions affectéesToutes les versions jusqu’à 1.7.0 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.9
Publication2026-11-06T12:17:19.450Z
Mise à jour2026-11-06T15:17:12.437Z
Action recommandée
Mettre à jour le plugin dès qu’un correctif est disponible et désactiver le mode Legacy si cette option est utilisée.
Sources
Priorisation DFS : P4 · 1 source(s).