Veille sécuritéCMS & e-commerce
P3Élevée
Church Admin jusqu’à la version 5.1.7 incluse présente une XSS stockée via le paramètre `lat`, exploitable sans authentification lorsque la clé d’API Google Maps est configurée dans les réglages du plugin. La source ne fournit ni version corrigée ni contournement.
WordPress
IdentifiantCVE-2026-123418
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-123418
Analyse technique
Le paramètre `lat` n’est pas suffisamment assaini ou échappé ; le chemin vulnérable n’est atteint que si une clé Google Maps est configurée.
Impact, versions et correctif
Événement datéLa fiche NVD indique une première publication le 2026-11-07T12:17:45.933Z, dans la période demandée ; l’élément est retenu comme divulgation de vulnérabilité, et non sur la seule base d’une modification administrative.
ImpactExécution de scripts dans les pages affectées lorsque la configuration Google Maps requise est présente.
Versions affectéesChurch Admin jusqu’à 5.1.7 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
Publication2026-11-07T12:17:45.933Z
Mise à jour2026-11-07T18:17:20.697Z
Action recommandée
Mettre à jour dès disponibilité d’un correctif ; si la fonction cartographique n’est pas nécessaire, vérifier la possibilité de retirer la clé d’API configurée.
Sources
Priorisation DFS : P3 · 1 source(s).