WPSpeed : XSS stockée via l’optimisation LightImages

Veille sécuritéCMS & e-commerce

P4Moyenne

Le plugin WPSpeed pour WordPress présente une XSS stockée exploitable par un utilisateur authentifié disposant du rôle Abonné ou supérieur, via le traitement de pages d’archives d’auteur et de contenu HTML encodé. Les versions jusqu’à 2.6.10 incluses sont concernées ; aucune version corrigée ni mesure de contournement n’est indiquée dans la source.

IdentifiantCVE-2026-118784

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-118784

Analyse technique

La vulnérabilité résulte du décodage d’entités HTML dans le document optimisé, notamment sur les archives d’auteur ; un visiteur déconnecté peut déclencher le script en consultant une telle page.

Impact, versions et correctif

Événement datéLa fiche NVD est publiée le 2026-11-07, dans la période demandée ; la description fournie documente une vulnérabilité, et non une simple modification administrative.

ImpactExécution de scripts dans le navigateur des visiteurs consultant une archive d’auteur ; accès authentifié au niveau Abonné ou supérieur requis pour enregistrer le contenu malveillant.

Versions affectéesJusqu’à la version 2.6.10 incluse

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS6.4

EPSS0,33% · percentile 26,5%

Publication2026-11-07T10:17:06.970Z

Mise à jour2026-11-07T18:17:13.860Z

Action recommandée

Mettre à jour vers une version corrigée dès qu’elle est disponible ; dans l’intervalle, désactiver le plugin ou sa fonction LightImages si possible.

Sources

NVD — CVE-2026-118784

Priorisation DFS : P4 · 1 source(s).