Veille sécuritéCMS & e-commerce
P4Moyenne
GeoDirectory contient une XSS stockée via le paramètre `post_content`, exploitable par un utilisateur authentifié disposant au minimum du rôle Subscriber et propriétaire d’une annonce publiée. Les versions jusqu’à 2.8.191 incluse sont concernées ; la source ne donne ni version corrigée ni contournement.
WordPress
IdentifiantCVE-2026-110703
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-110703
Analyse technique
La modification d’une annonce déjà publiée conserve son statut : le contenu injecté reste donc immédiatement actif sans repasser par la modération.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-16, dans la période demandée ; la description porte sur une vulnérabilité, et non uniquement sur une modification administrative.
ImpactUn attaquant autorisé à modifier sa propre annonce publiée peut y stocker un script exécuté par les visiteurs.
Versions affectéesGeoDirectory jusqu’à 2.8.191 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,38% · percentile 29,9%
Publication2026-10-16T10:18:05.447Z
Mise à jour2026-10-16T14:51:17.720Z
Action recommandée
Vérifier la disponibilité d’une version corrigée auprès de l’éditeur et l’appliquer dès que possible.
Sources
Priorisation DFS : P4 · 1 source(s).