Veille sécuritéCMS & e-commerce
P4Moyenne
Un flux contrôlé par un attaquant peut fournir un élément media:group/media:description insuffisamment assaini et provoquer une XSS stockée après importation. Le plugin est concerné jusqu’à la version 5.2.12 incluse.
WordPress
IdentifiantCVE-2026-110707
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-110707
Analyse technique
L’exploitation nécessite qu’un administrateur configure un import Feed-to-Post pointant vers un flux contrôlé par l’attaquant et lance l’import, notamment via Run Now ou l’assistant de configuration.
Impact, versions et correctif
Événement datéFiche NVD publiée le 2026-10-29, dans la période demandée.
ImpactDu contenu scripté provenant d’un flux peut être enregistré puis exécuté dans les pages consultées.
Versions affectéesRSS Aggregator by Feedzy jusqu’à 5.2.12 inclus.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.7
EPSS0,30% · percentile 23,2%
Publication2026-10-29T12:17:02.877+02:00
Mise à jour2026-10-29T16:56:26.107+02:00
Détection / vérification
Vérifier RSS Aggregator by Feedzy jusqu’à 5.2.12 inclus et les configurations Feed-to-Post qui importent un flux externe.
Action recommandée
Mettre à jour le plugin lorsqu’un correctif est disponible et n’importer que des flux de confiance.
Sources
Priorisation DFS : P4 · 1 source(s).