Veille sécuritéCMS & e-commerce
P4Moyenne
WPeMatico RSS Feed Fetcher présente une faille XSS stockée dans toutes les versions jusqu’à 2.9 inclus : du contenu importé depuis un flux peut être enregistré sans filtrage suffisant. Un attaquant capable de publier ou compromettre un flux utilisé par une campagne peut ainsi injecter du script exécuté lors de l’affichage des publications importées.
WordPress
IdentifiantCVE-2026-110252
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-110252
Analyse technique
Le plugin retire wp_filter_post_kses de content_save_pre avant d’enregistrer le contenu du flux lorsque la campagne a été modifiée par un administrateur.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-16 (date et heure indiquées par la source); cet événement tombe dans la période demandée.
ImpactExécution de scripts dans les pages affichant des contenus importés, susceptible d’affecter leurs visiteurs.
Versions affectéesVersions jusqu’à 2.9 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.4
EPSS0,29% · percentile 20,0%
Publication2026-10-16T07:17:11.030Z
Mise à jour2026-10-16T15:17:10.490Z
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible; dans l’intervalle, éviter les flux non fiables et contrôler les contenus importés.
Sources
Priorisation DFS : P4 · 1 source(s).