Veille sécuritéCMS & e-commerce
P4Moyenne
Photo Engine (Media Organizer & Lightroom), avant la version 6.6.2, n’assainit ni n’échappe les noms de mots-clés avant leur stockage et leur affichage sur sa page de débogage. Un utilisateur ayant le rôle Author ou supérieur peut y provoquer une XSS persistante si cette page est activée ; mettre à jour le plugin vers la version 6.6.2 ou ultérieure.
WordPress
IdentifiantCVE-2026-123667
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif6.6.2
Source : NVD — CVE-2026-123667
Analyse technique
Les noms de mots-clés contrôlés par un utilisateur sont stockés et affichés dans la page de débogage sans assainissement ni échappement adéquats.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-11T06:17:18.337Z, dans la période demandée. Sa mise à jour du 2026-11-12 est postérieure à la borne de fin et n’est pas retenue comme événement.
ImpactUn utilisateur Author ou supérieur peut faire exécuter du contenu scripté dans le navigateur d’un administrateur consultant la page de débogage activée.
Versions affectéesVersions antérieures à 6.6.2
Version corrigée6.6.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,19% · percentile 9,2%
Publication2026-11-11T06:17:18.337Z
Mise à jour2026-11-11T06:17:18.337Z
Action recommandée
Mettre à jour Photo Engine (Media Organizer & Lightroom) vers la version 6.6.2 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).