SEOPress : XSS stockée via les paramètres de suivi Google Analytics

Veille sécuritéCMS & e-commerce

P4Moyenne

SEOPress contient une faille XSS stockée liée aux paramètres de suivi Google Analytics, qui permet à un utilisateur authentifié disposant des droits requis d’injecter du script exécuté lors de l’affichage d’une page concernée. Les versions affectées vont jusqu’à 10.3 inclus ; aucun correctif ni contournement n’est précisé dans la source fournie.

IdentifiantCVE-2026-120515

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-120515

Analyse technique

La faille concerne les paramètres seopress_google_analytics_affiliate_tracking et seopress_google_analytics_download_tracking, interpolés dans le code de suivi JavaScript sans assainissement ou échappement suffisant. L’exploitation requiert un compte authentifié et la capacité analytics déléguée.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-11-07 ; la vulnérabilité XSS décrite est retenue comme pertinente pour JavaScript et datée dans la période demandée.

ImpactExécution de scripts dans le navigateur des utilisateurs qui consultent une page injectée.

Versions affectéesVersions jusqu’à 10.3 inclus

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS6.4

EPSS0,20% · percentile 10,0%

Publication2026-11-07T07:17:03.713Z

Mise à jour2026-11-07T18:17:17.277Z

Action recommandée

Mettre à jour SEOPress vers une version corrigée dès qu’elle est disponible et limiter la capacité analytics aux comptes de confiance.

Sources

NVD — CVE-2026-120515

Priorisation DFS : P4 · 1 source(s).