Veille sécuritéCMS & e-commerce
P4Moyenne
User Profile Builder présente une XSS stockée via le paramètre « display_name », exploitable par un utilisateur authentifié ayant au moins le rôle Subscriber. La valeur injectée peut persister dans les commentaires même si le compte de l’attaquant est ensuite modifié ou supprimé.
WordPress
IdentifiantCVE-2026-107748
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-107748
Analyse technique
La charge est conservée dans wp_comments.comment_author indépendamment du profil de l’utilisateur.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-16, dans la période demandée; l’information retenue est la vulnérabilité décrite, et non la seule date de modification de la fiche.
ImpactExécution de scripts dans les pages affichant le contenu affecté.
Versions affectéesToutes les versions jusqu’à 4.0.3 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,20% · percentile 9,3%
Publication2026-10-16T06:17:05.990Z
Mise à jour2026-10-16T15:17:05.440Z
Action recommandée
Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible; examiner les commentaires concernés, car la charge peut survivre aux changements de compte.
Sources
Priorisation DFS : P4 · 1 source(s).