Veille sécuritéCMS & e-commerce
P4Moyenne
weDocs pour WordPress présente une XSS stockée via l’attribut de bloc « modalPlaceholder », dans les versions jusqu’à 2.6.1 incluse. Un contributeur peut enregistrer une publication en attente contenant la charge ; le script s’exécute si un administrateur ou un éditeur consulte ou prévisualise cette publication.
WordPress
IdentifiantCVE-2026-104760
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-104760
Analyse technique
La vulnérabilité résulte d’une validation insuffisante de l’attribut de bloc et d’un échappement inadéquat à l’affichage ; le rôle Contributeur ou supérieur est requis.
Impact, versions et correctif
Événement datéLa fiche NVD est publiée le 2026-11-07, dans la période demandée ; la description fournie documente une vulnérabilité XSS stockée.
ImpactExécution de scripts dans le navigateur d’un administrateur ou d’un éditeur lorsqu’il consulte ou prévisualise une publication en attente compromise.
Versions affectéesJusqu’à la version 2.6.1 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
Publication2026-11-07T12:17:41.637Z
Mise à jour2026-11-07T18:17:10.900Z
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible ; dans l’intervalle, désactiver le plugin ou empêcher la prévisualisation de publications non fiables.
Sources
Priorisation DFS : P4 · 1 source(s).