Veille sécuritéCMS & e-commerce
P4Moyenne
Webmention jusqu’à la version 5.10.1 présente une XSS stockée via la métadonnée Open Graph `og:title` d’une URL source de webmention. L’exécution requiert l’approbation du commentaire résultant par un administrateur ; la fiche NVD a été publiée pendant la période.
WordPress
IdentifiantCVE-2026-111109
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-111109
Analyse technique
La valeur `og:title` est conservée sans assainissement dans certaines conditions puis enregistrée dans le contenu du commentaire, les filtres KSES étant retirés lors du traitement de la webmention.
Impact, versions et correctif
Événement datéPublication de la fiche NVD le 2026-10-31, dans la période demandée. La mise à jour NVD du 2026-11-02 est postérieure et n’est pas retenue comme événement.
ImpactExécution de scripts dans le navigateur des visiteurs consultant un commentaire de webmention approuvé.
Versions affectéesToutes les versions jusqu’à 5.10.1 inclusivement
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.1
EPSS0,28% · percentile 20,5%
Publication2026-10-31T07:16:34.827Z
Action recommandée
Mettre à jour le plugin dès qu’une version corrigée est disponible ; examiner les webmentions en attente avant approbation.
Sources
Priorisation DFS : P4 · 1 source(s).