Veille sécuritéCMS & e-commerce
P3Élevée
CVE-2026-109198 concerne une XSS stockée dans le plugin Anti-Spam by CleanTalk, causée par une validation et un échappement insuffisants du paramètre « user_email ». L’exploitation nécessite que les inscriptions soient ouvertes et que l’administrateur consulte certaines listes après avoir lancé l’analyse des utilisateurs indésirables.
WordPress
IdentifiantCVE-2026-109198
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-109198
Analyse technique
Le contenu injecté peut s’exécuter lorsqu’un administrateur consulte les onglets « Non-checkable users » ou « Spam users » après l’analyse du plugin.
Impact, versions et correctif
Événement datéRetenue comme nouvelle vulnérabilité : la date de publication indiquée par la source, 2026-10-23T05:17:14.773Z, se situe dans la période demandée. La date de mise à jour NVD du même jour n’est pas utilisée seule pour établir la nouveauté.
ImpactUn attaquant non authentifié peut injecter des scripts qui s’exécutent dans le navigateur de l’administrateur dans les conditions décrites.
Versions affectéesToutes les versions jusqu’à 6.89.1 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
EPSS0,35% · percentile 27,5%
Publication2026-10-23T05:17:14.773Z
Mise à jour2026-10-23T14:20:57.920Z
Action recommandée
Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible; la source fournie ne précise pas de version corrigée.
Sources
Priorisation DFS : P3 · 1 source(s).