Veille sécuritéCMS & e-commerce
P4Moyenne
LearnPress – Course Review présente une XSS stockée de type DOM via le titre d’un avis, exploitable par un utilisateur authentifié disposant au moins du rôle Subscriber. Le code ne s’exécute qu’après approbation de l’avis, sauf configuration d’auto-approbation ; aucun correctif n’est indiqué dans la source.
WordPress
IdentifiantCVE-2026-118054
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-118054
Analyse technique
Le paramètre concerné est `review_title` dans `data.args.review_title` ; l’exécution dépend de l’approbation de l’avis, sauf si les avis sont auto-approuvés.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-07, dans la période demandée ; l’élément est retenu comme vulnérabilité publiée, et non sur la seule base de sa mise à jour.
ImpactExécution de scripts dans le navigateur lors de l’affichage d’un avis affecté.
Versions affectéesToutes les versions jusqu’à 4.2.2 inclusivement.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,22% · percentile 12,1%
Publication2026-11-07T03:17:00.360Z
Mise à jour2026-11-07T18:17:13.383Z
Détection / vérification
Vérifier si LearnPress – Course Review est installé en version 4.2.2 ou antérieure.
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible et modérer les avis avant publication.
Sources
Priorisation DFS : P4 · 1 source(s).