Veille sécuritéCMS & e-commerce
P4Moyenne
Le plugin Modula pour WordPress présente une XSS stockée exploitable par un utilisateur authentifié ayant au moins le rôle Auteur. Une valeur de lien contrôlée peut contenir un schéma javascript: et déclencher un script lorsqu’un visiteur clique sur la tuile de galerie ; les versions jusqu’à 3.0.17 inclus sont concernées.
JavaScriptWordPress
IdentifiantCVE-2026-121976
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-121976
Analyse technique
La valeur link fournie dans le paramètre items est conservée sans filtrage adéquat, puis échappée uniquement avec esc_attr(), ce qui ne bloque pas le schéma javascript:.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-07 ; la XSS stockée décrite implique l’exécution de JavaScript et relève donc du sujet demandé.
ImpactExécution de scripts dans le navigateur d’un visiteur qui clique sur une tuile de galerie injectée.
Versions affectéesVersions jusqu’à 3.0.17 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
Publication2026-11-07T12:17:45.260Z
Mise à jour2026-11-07T18:17:19.993Z
Action recommandée
Mettre à jour Modula vers une version corrigée dès qu’elle est disponible et limiter les droits d’écriture aux utilisateurs de confiance.
Sources
Priorisation DFS : P4 · 1 source(s).