Le plugin WordPress Schedule Post Changes With PublishPress Future ne neutralise pas correctement du contenu contrôlé par l’utilisateur dans un attribut de shortcode, ce qui permet à un contributeur ou à un utilisateur de rôle supérieur d’enregistrer du JavaScript exécuté lorsqu’un utilisateur privilégié consulte le contenu. Mettre à jour vers la version 4.10.6 ou ultérieure.
Source : NVD — CVE-2026-105261
Analyse technique
Le plugin n’applique pas de liste d’autorisation d’éléments HTML sûre à un attribut de shortcode et ne neutralise pas le texte contrôlé par l’attaquant placé dans l’élément généré. Le JavaScript stocké s’exécute dans la session de l’utilisateur privilégié qui consulte le contenu.
Impact, versions et correctif
Détection / vérification
Vérifier si le plugin Schedule Post Changes With PublishPress Future est installé dans une version antérieure à 4.10.6 et examiner ses contenus comportant des attributs de shortcode concernés.
Action recommandée
Mettre à jour le plugin vers la version 4.10.6 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).