Veille sécuritéCMS & e-commerce
P4Moyenne
WP ImageViewer jusqu’à la version 3.0.2 incluse présente une XSS DOM stockée via le paramètre `img.alt`. L’exploitation requiert un compte authentifié et, selon le scénario, un plugin de contenu frontal tel que bbPress ou des droits permettant de publier le contenu concerné ; la source ne précise pas de correctif.
WordPress
IdentifiantCVE-2026-122059
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-122059
Analyse technique
Le paramètre alt n’est pas suffisamment assaini ni échappé. bbPress peut fournir aux abonnés la capacité bbp_participant nécessaire à la publication d’images porteuses de la charge.
Impact, versions et correctif
Événement datéLa fiche NVD indique une première publication le 2026-11-07T12:17:45.607Z, dans la période demandée ; l’élément est retenu comme divulgation de vulnérabilité, et non sur la seule base d’une modification administrative.
ImpactExécution de scripts dans les pages affichant le contenu image affecté.
Versions affectéesWP ImageViewer jusqu’à 3.0.2 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
Publication2026-11-07T12:17:45.607Z
Mise à jour2026-11-07T18:17:20.347Z
Action recommandée
Mettre à jour dès qu’un correctif est disponible et limiter les capacités de publication de contenu contenant des images aux utilisateurs de confiance.
Sources
Priorisation DFS : P4 · 1 source(s).