Veille sécuritéCMS & e-commerce
P4Moyenne
Le plugin WordPress Add From Server Lite autorise des utilisateurs ayant le rôle Author ou supérieur à téléverser des SVG contenant du JavaScript. Ces fichiers peuvent ensuite servir à des attaques XSS stockées.
JavaScriptWordPress
IdentifiantCVE-2026-121796
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif6.0.0
Source : NVD — CVE-2026-121796
Analyse technique
La restriction des téléversements SVG aux utilisateurs autorisés à publier du HTML non filtré fait défaut.
Impact, versions et correctif
Événement datéNouvelle fiche publiée par le NVD le 2026-11-07T06:16:58.507Z, dans la période demandée.
ImpactUn utilisateur autorisé au rôle Author ou supérieur peut provoquer l’exécution de JavaScript via un SVG téléversé.
Versions affectéesVersions antérieures à 6.0.0.
Version corrigée6.0.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.8
EPSS0,16% · percentile 5,3%
Publication2026-11-07T06:16:58.507Z
Mise à jour2026-11-07T19:17:24.617Z
Action recommandée
Mettre à niveau vers la version 6.0.0 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).