Veille sécuritéCMS & e-commerce
P4Moyenne
Le plugin WP User Avatar / ProfilePress pour WordPress permet l’exécution de shortcodes arbitraires dans l’onglet Commentaires du profil public. Un attaquant authentifié avec un rôle Subscriber ou supérieur peut déclencher l’exécution côté serveur en publiant un commentaire contenant un shortcode.
WordPress
IdentifiantCVE-2026-104003
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-104003
Analyse technique
La fonction get_user_profile_structure() transmet à do_shortcode() un tampon de profil contenant des extraits de commentaires, après une neutralisation insuffisante de certains shortcodes.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée pendant la période demandée, le 2026-10-16.
ImpactL’exécution de shortcodes disponibles dans les extensions ou thèmes actifs peut exposer des données ou injecter du contenu HTML sur une page publique.
Versions affectéesVersions jusqu’à 4.17.5 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.4
EPSS0,23% · percentile 13,2%
Publication2026-10-16T09:17:03.843Z
Mise à jour2026-10-16T15:17:03.103Z
Sources
Priorisation DFS : P4 · 1 source(s).