Veille sécuritéCMS & e-commerce
P4Moyenne
Le plugin CookieYes pour WordPress antérieur à 3.5.8 ne restreint pas correctement l’écriture de champs de scripts de catégories et ne les assainit pas, permettant à un contributeur de stocker du JavaScript. Le script peut s’exécuter dans le navigateur des visiteurs du site ou d’un administrateur consultant le contenu; mettre à jour le plugin vers la version 3.5.8 ou ultérieure.
JavaScriptWordPress
IdentifiantCVE-2026-104719
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif3.5.8
Source : NVD — CVE-2026-104719
Analyse technique
Les champs de scripts des catégories de cookies peuvent être modifiés par un utilisateur ayant le rôle Contributor; leur contenu n’est ni correctement assaini ni échappé.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-04; cette publication de vulnérabilité, et non une simple modification administrative, est retenue.
ImpactExécution de JavaScript dans le navigateur des visiteurs et des administrateurs consultant le contenu affecté.
Versions affectéesCookieYes pour WordPress, versions antérieures à 3.5.8
Version corrigée3.5.8
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,21% · percentile 11,0%
Publication2026-11-04T06:16:57.157Z
Mise à jour2026-11-04T15:17:23.707Z
Action recommandée
Mettre à jour CookieYes vers la version 3.5.8 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).