Veille sécuritéCMS & e-commerce
P3Élevée
Le module Frontend Post Submission Manager Lite – Frontend Posting est vulnérable à une XSS stockée DOM via `post_content`, exploitable sans authentification lorsque la soumission d’articles invités est activée par le shortcode `[fpsm]`. Les versions jusqu’à 1.3.4 sont concernées; mettez à jour vers une version corrigée, dont le numéro n’est pas établi ici, ou désactivez la soumission publique concernée.
WordPress
IdentifiantCVE-2026-96649
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-96649
Analyse technique
XSS stockée DOM via le paramètre post_content et un point d’injection data-label; la soumission publique via shortcode est une condition préalable.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-09-30 à 03:17:00.387Z, soit 2026-09-30T05:17:00.387+02:00, dans la période demandée.
ImpactExécution de scripts dans le navigateur des visiteurs consultant une page injectée.
Versions affectéesJusqu’à 1.3.4 inclus
ContournementDésactiver la soumission publique d’articles invités via `[fpsm]` jusqu’à l’installation d’une version corrigée.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
Publication2026-09-30T05:17:00.387+02:00
Mise à jour2026-09-30T18:19:26.133+02:00
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible; sinon, désactiver la soumission publique activée par [fpsm].
Sources
Priorisation DFS : P3 · 1 source(s).