Veille sécuritéCMS & e-commerce
P4Moyenne
Le plugin WordPress Enable SVG, WebP, and ICO Upload ne bloquait pas certains éléments d’animation SVG capables de modifier une cible de lien vers une URI javascript:, contournant l’assainissement et permettant une XSS stockée. Le risque concerne les utilisateurs ayant au moins le rôle d’auteur et les navigateurs WebKit; mettre à jour vers la version 1.1.6 ou ultérieure.
JavaScriptWordPress
IdentifiantCVE-2026-110505
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif1.1.6
Source : NVD — CVE-2026-110505
Analyse technique
Contournement de l’assainissement SVG par éléments d’animation; exécution signalée dans les navigateurs WebKit. CVSS 6.8 selon le candidat.
Impact, versions et correctif
Événement datéPublication NVD horodatée 2026-10-29T06:17:18.397Z, dans la période retenue.
ImpactExécution de JavaScript dans certains navigateurs WebKit après chargement d’un SVG malveillant.
Versions affectéesEnable SVG, WebP, and ICO Upload < 1.1.6
Version corrigée1.1.6
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.8
EPSS0,22% · percentile 12,0%
Publication2026-10-29T08:17:18.397+02:00
Mise à jour2026-10-29T17:18:27.920+02:00
Action recommandée
Mettre à jour le plugin vers la version 1.1.6 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).