Veille sécuritéCMS & e-commerce
P4Moyenne
La fiche NVD publiée le 14 octobre 2026 décrit une XSS stockée dans GeoDirectory – WP Business Directory Plugin and Classified Listings Directory, affectant toutes les versions jusqu’à 2.8.190 incluse. Des utilisateurs authentifiés disposant au moins du rôle d’abonné peuvent injecter du script via `post_title`; aucun correctif n’est indiqué dans les éléments fournis.
WordPress
IdentifiantCVE-2026-107650
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-107650
Analyse technique
XSS stockée par assainissement des entrées et échappement de sortie insuffisants; paramètre concerné : `post_title`.
Impact, versions et correctif
Événement datéRetenue comme nouvelle vulnérabilité : publication NVD le 14 octobre 2026, dans la période demandée. Aucune version corrigée n’est indiquée dans les éléments fournis.
ImpactL’exécution de scripts dans le navigateur des visiteurs de pages contenant le contenu injecté.
Versions affectéesGeoDirectory – WP Business Directory Plugin and Classified Listings Directory, toutes versions jusqu’à 2.8.190 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,26% · percentile 16,8%
Publication2026-10-14T10:17:04.417+02:00
Mise à jour2026-10-14T17:17:06.473+02:00
Action recommandée
Mettre à jour GeoDirectory dès qu’un correctif est disponible; limiter les droits de publication et surveiller les titres soumis.
Sources
Priorisation DFS : P4 · 1 source(s).