Veille sécuritéCMS & e-commerce
P4Moyenne
Le plugin WordPress Stop Spammers Classic présente une XSS stockée déclenchée lorsque certains administrateurs consultent une ligne de journal empoisonnée et cliquent sur « Report to SFS ». L’exploitation nécessite aussi que la clé API StopForumSpam soit configurée, condition non satisfaite par défaut.
JavaScriptWordPress
IdentifiantCVE-2026-120477
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-120477
Analyse technique
Une valeur author reçue sans authentification est enregistrée puis rendue dans une chaîne JavaScript ; l’échappement utilisé ne protège pas les apostrophes.
Impact, versions et correctif
Événement datéNouvelle fiche publiée par le NVD le 2026-11-07T05:18:11.110Z, dans la période demandée.
ImpactLe script injecté peut s’exécuter dans le navigateur d’un administrateur qui clique sur le lien concerné.
Versions affectéesToutes les versions jusqu’à et y compris 2026.6.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.7
EPSS0,25% · percentile 16,6%
Publication2026-11-07T05:18:11.110Z
Mise à jour2026-11-07T18:17:16.663Z
Action recommandée
Consulter l’avis de l’éditeur pour déterminer la version corrigée et appliquer le correctif disponible.
Sources
Priorisation DFS : P4 · 1 source(s).