Veille sécuritéCMS & e-commerce
P4Moyenne
All-in-One Video Gallery présente une XSS stockée via le paramètre « more_link ». Les versions jusqu’à 4.9.7 inclus sont concernées ; la fiche indique que des utilisateurs authentifiés ayant au moins le rôle Contributeur peuvent injecter un script dans des pages consultées par d’autres utilisateurs.
WordPress
IdentifiantCVE-2026-109974
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-109974
Analyse technique
La vulnérabilité est attribuée à une validation insuffisante des entrées et à un échappement insuffisant des sorties du paramètre more_link.
Impact, versions et correctif
Événement datéPublication NVD le 2026-10-28T03:17:09.490Z, dans la période demandée. La mise à jour NVD du 2026-10-29 est hors période.
ImpactExécution de scripts dans le navigateur des visiteurs des pages concernées.
Versions affectéesAll-in-One Video Gallery jusqu’à 4.9.7 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,19% · percentile 9,0%
Publication2026-10-28T03:17:09.490Z
Action recommandée
Mettre à jour le plugin dès qu’une version corrigée est disponible et limiter les droits de publication.
Sources
Priorisation DFS : P4 · 1 source(s).