Veille sécuritéCMS & e-commerce
P4Moyenne
Le plugin Author Image ne neutralise pas correctement la valeur `display_name` avant son affichage. Un attaquant authentifié disposant au moins du rôle Subscriber peut injecter un script stocké, exécuté lorsque des utilisateurs consultent la page concernée.
WordPress
IdentifiantCVE-2026-119097
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-119097
Analyse technique
La faille est liée à une validation insuffisante des entrées et à un échappement insuffisant de la sortie du paramètre `display_name`.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-11, pendant la période retenue ; c’est la publication de la vulnérabilité qui est prise en compte.
ImpactUn script injecté peut s’exécuter dans le navigateur des personnes consultant une page affectée.
Versions affectéesToutes les versions jusqu’à 4.9.3 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
Publication2026-11-11T12:19:11.667Z
Mise à jour2026-11-11T14:17:30.097Z
Action recommandée
Vérifier auprès de l’éditeur la disponibilité d’un correctif et mettre à jour dès qu’une version corrigée est disponible.
Sources
Priorisation DFS : P4 · 1 source(s).