Veille sécuritéCMS & e-commerce
P4Moyenne
Feedzy RSS Aggregator jusqu’à la version 5.2.13 incluse peut enregistrer une XSS provenant du titre d’un élément de flux, lorsque l’administrateur a configuré un import Feed-to-Post vers une source contrôlée par un attaquant. Mettre à jour dès qu’un correctif est disponible et vérifier les sources de flux configurées.
WordPress
IdentifiantCVE-2026-120035
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-120035
Analyse technique
Le titre de l’élément importé depuis le flux est insuffisamment assaini et échappé. Après la configuration initiale du flux malveillant, l’attaquant peut modifier les charges utiles sans nouvelle interaction du site décrite dans la fiche.
Impact, versions et correctif
Événement datéLa fiche NVD indique une première publication le 2026-11-06, dans la période retenue; il s’agit d’une vulnérabilité nouvellement publiée, et non d’une simple modification administrative.
ImpactUn titre de flux malveillant peut provoquer l’exécution d’un script dans le navigateur des personnes consultant la page affectée.
Versions affectéesToutes les versions jusqu’à 5.2.13 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.4
Publication2026-11-06T12:17:20.067Z
Mise à jour2026-11-06T15:17:13.307Z
Action recommandée
Mettre à jour Feedzy dès qu’un correctif est disponible et contrôler les URL des flux Feed-to-Post configurés.
Sources
Priorisation DFS : P4 · 1 source(s).