XSS stockée dans le plugin WordPress Motors

Veille sécuritéCMS & e-commerce

P4Moyenne

Motors – Car Dealership & Classified Listings présente une XSS stockée via le paramètre `stm_f_s[make]`, exploitable par un utilisateur authentifié disposant au moins du rôle Subscriber. La faille concerne les versions jusqu’à 1.4.128 et requiert l’activation de Free Listing Submission ; aucun correctif n’est indiqué dans la source.

IdentifiantCVE-2026-116562

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-116562

Analyse technique

Le défaut de filtrage et d’échappement permet l’injection de scripts stockés, exécutés lors de l’affichage d’une page affectée.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-11-07, dans la période demandée ; l’élément est retenu comme vulnérabilité publiée, et non sur la seule base de sa mise à jour.

ImpactExécution de scripts dans le navigateur des visiteurs de pages affectées.

Versions affectéesToutes les versions jusqu’à 1.4.128 inclusivement.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS6.4

EPSS0,24% · percentile 14,5%

Publication2026-11-07T03:16:59.963Z

Mise à jour2026-11-07T18:17:12.660Z

Détection / vérification

Vérifier si le plugin Motors est installé en version 1.4.128 ou antérieure et si Free Listing Submission est activé.

Action recommandée

Mettre à jour vers une version corrigée dès qu’elle est disponible ; en attendant, désactiver Free Listing Submission si possible.

Sources

NVD — CVE-2026-116562

Priorisation DFS : P4 · 1 source(s).