Veille sécuritéCMS & e-commerce
P3Élevée
WP Sessions Time Monitoring Full Automatic contient une XSS stockée par plusieurs paramètres de requête, exploitable sans authentification. Toutes les versions jusqu’à 1.1.5 incluse sont concernées ; la source ne précise ni correctif ni contournement.
WordPress
IdentifiantCVE-2026-107648
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-107648
Analyse technique
Les paramètres cités comprennent notamment `action`, `function`, `plugin`, `post_type`, `post_status`, `ids`, `loggedout` et le champ POST `post_title`.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-16, dans la période demandée ; la description porte sur une vulnérabilité, et non uniquement sur une modification administrative.
ImpactUn attaquant non authentifié peut injecter des scripts exécutés par les utilisateurs consultant une page affectée.
Versions affectéesWP Sessions Time Monitoring Full Automatic jusqu’à 1.1.5 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
Publication2026-10-16T12:16:32.053Z
Mise à jour2026-10-16T15:17:05.237Z
Action recommandée
Vérifier la disponibilité d’une version corrigée et mettre à jour le plugin dès qu’elle est disponible.
Sources
Priorisation DFS : P3 · 1 source(s).