Document Embedder est vulnérable à une XSS DOM stockée jusqu’à la version 2.4.0 incluse; un utilisateur authentifié ayant au moins le rôle Contributor peut injecter un script qui s’exécute lorsqu’un visiteur clique sur le bouton de téléchargement du document intégré. La fiche fournie ne donne pas de version corrigée : vérifier les mises à jour du plugin et limiter les contenus soumis par des comptes peu privilégiés jusqu’à correction.
Source : NVD — CVE-2026-109370
Analyse technique
La faille concerne le contenu post_content contenant le documentSource.doc. Le chemin de repli AJAX de téléchargement crée un lien à partir du href contrôlé par l’attaquant lorsque docId=0; le script est déclenché par clic sur Download.
Impact, versions et correctif
Action recommandée
Mettre à jour le plugin dès qu’un correctif est disponible et examiner les pages contenant des documents intégrés soumis par des utilisateurs.
Sources
Priorisation DFS : P4 · 1 source(s).