Veille sécuritéCMS & e-commerce
P4Moyenne
Social Share Buttons & Analytics Plugin – GetSocial.io jusqu’à la version 4.5 incluse présente une XSS stockée déclenchée par le paramètre response. Un utilisateur authentifié disposant au minimum du rôle Subscriber peut injecter un script qui s’exécute lorsqu’un administrateur visite les réglages GetSocial.
WordPress
IdentifiantCVE-2026-103369
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-103369
Analyse technique
La charge utile est stockée dans les options gs-alert-msg, gs-alert-utm et gs-alert-cta, faute de validation et d’échappement adéquats.
Impact, versions et correctif
Événement datéPublication de la fiche NVD le 2026-10-14, dans la période demandée.
ImpactUn script injecté peut s’exécuter dans le navigateur d’un administrateur qui consulte la page de réglages du plugin.
Versions affectéesToutes les versions jusqu’à 4.5 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,25% · percentile 15,6%
Publication2026-10-14T05:16:42.340Z
Mise à jour2026-10-14T15:17:03.837Z
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible; restreindre l’accès aux comptes ayant des privilèges d’écriture.
Sources
Priorisation DFS : P4 · 1 source(s).