Veille sécuritéCMS & e-commerce
P3Moyenne
K-news présente une XSS réfléchie dans les versions antérieures à 1.1.1, par le paramètre `ff` de la page `fontpicker`. La fiche CVE a été publiée le 2026-10-20 ; l’observation d’exploitation signalée date de 2023-10-19, hors de la période retenue.
WordPress
IdentifiantCVE-2012-20004
GravitéMoyenne
Exploitationrapportée, à confirmer
Correctif1.1.1
Source : NVD — CVE-2012-20004
Analyse technique
La valeur fournie dans `ff` est renvoyée sans assainissement dans des éléments HTML.
Impact, versions et correctif
Événement datéPublication de la fiche NVD le 2026-10-20. La mention d’une exploitation observée en 2023 est antérieure à la période et n’est pas présentée comme un événement nouveau de cette journée.
ImpactUn lien spécialement préparé peut exécuter du script dans le navigateur d’une victime.
Versions affectéesVersions antérieures à 1.1.1
Version corrigée1.1.1
Exploitation activerapportée, à confirmer
PoC publicinconnu
CVSS5.1
Publication2026-10-20T21:17:11.907Z
Mise à jour2026-10-20T21:17:11.907Z
Détection / vérification
L’exploitation aurait été observée par Shadowserver le 2023-10-19, selon les informations du candidat.
Action recommandée
Mettre à jour vers la version 1.1.1 ou ultérieure ; à défaut, désactiver le plugin.
Sources
Priorisation DFS : P3 · 1 source(s).