Veille sécuritéCMS & e-commerce
P4Moyenne
Ultimate Member présentait une XSS stockée via « pm_note » ou un champ textarea personnalisé dont le HTML est désactivé ; un utilisateur authentifié de niveau abonné ou supérieur pouvait injecter un script. Toutes les versions jusqu’à 2.14.1 inclus sont concernées, et la source ne précise pas de version corrigée.
WordPress
IdentifiantCVE-2026-116621
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-116621
Analyse technique
L’exploitation décrite nécessite qu’une victime privilégiée clique sur un lien rendu dans la page de profil ; un mécanisme DOM concatène une valeur data-src non échappée dans du HTML transmis à jQuery.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-07, dans la période demandée.
ImpactUn script injecté peut s’exécuter lorsqu’un utilisateur consulte le contenu concerné et que la victime privilégiée suit le lien piégé.
Versions affectéesToutes les versions jusqu’à 2.14.1 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,20% · percentile 10,0%
Publication2026-11-07T09:17:02+02:00
Mise à jour2026-11-07T20:17:12+02:00
Action recommandée
Vérifier auprès de l’éditeur la disponibilité d’un correctif et mettre le plugin à jour dès qu’il est proposé.
Sources
Priorisation DFS : P4 · 1 source(s).