Le plugin WordPress MCB jusqu’à la version 1.0.0 ne neutralise pas les valeurs d’en-tête HTTP avant de les afficher dans la grille de statistiques d’administration, ce qui permet à un attaquant non authentifié d’y faire exécuter du JavaScript lorsqu’un administrateur consulte cette page. La version corrigée n’est pas indiquée dans les éléments fournis.
Source : NVD — CVE-2026-110525
Analyse technique
Injection de script stocké à partir de valeurs d’en-tête de requête, exécuté dans la session du navigateur d’un administrateur consultant les statistiques.
Impact, versions et correctif
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est identifiée auprès de l’éditeur; en attendant, limiter l’accès à l’administration et éviter d’afficher la grille concernée.
Sources
Priorisation DFS : P3 · 1 source(s).