Veille sécuritéCMS & e-commerce
P4Moyenne
Le plugin Name Directory pour WordPress présente une faille XSS persistante via l’attribut dir d’un shortcode. Un attaquant authentifié avec le rôle Contributor ou supérieur peut injecter des scripts qui s’exécutent lorsqu’une page affectée est consultée.
WordPress
IdentifiantCVE-2026-104726
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-104726
Analyse technique
La vulnérabilité résulte d’une validation insuffisante des entrées et d’un échappement insuffisant à la sortie.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée pendant la période demandée, le 2026-10-16.
ImpactExécution de scripts arbitraires dans le navigateur des visiteurs d’une page contenant l’entrée injectée.
Versions affectéesVersions jusqu’à 1.34.2 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,19% · percentile 8,4%
Publication2026-10-16T09:17:03.980Z
Mise à jour2026-10-16T15:17:03.353Z
Sources
Priorisation DFS : P4 · 1 source(s).