Veille sécuritéCMS & e-commerce
P3Élevée
NewStatPress contient une XSS stockée exploitable sans authentification via QUERY_STRING/REQUEST_URI, dans les pages publiques utilisant le shortcode [NewStatPress type="Top Pages"]. Sont concernés les versions jusqu’à 1.4.5 incluse ; aucune version corrigée ni mesure de contournement n’est indiquée dans la source.
WordPress
IdentifiantCVE-2026-100153
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-100153
Analyse technique
L’exploitation nécessite que le shortcode soit présent sur une page consultable publiquement et que l’URL malveillante génère suffisamment de visites pour apparaître dans le classement Top Pages.
Impact, versions et correctif
Événement datéRetenue comme nouvelle vulnérabilité : la fiche indique une date de publication NVD dans la période, le 2026-10-14. La date de mise à jour NVD est également dans la période, mais n’est pas à elle seule considérée comme l’événement déclencheur.
ImpactUn attaquant non authentifié peut injecter du script exécuté dans le navigateur des visiteurs de la page affectée.
Versions affectéesToutes les versions jusqu’à 1.4.5 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
EPSS0,31% · percentile 22,1%
Publication2026-10-14T04:18:03.177Z
Mise à jour2026-10-14T15:17:01.587Z
Action recommandée
Mettre à jour vers une version corrigée lorsqu’elle sera disponible ; à défaut, désactiver le plugin ou retirer le shortcode des pages publiques.
Sources
Priorisation DFS : P3 · 1 source(s).