Veille sécuritéCMS & e-commerce
P3Élevée
Le plugin WordPress easy.jobs présente une XSS stockée liée au paramètre cover_letter, exploitable par un attaquant non authentifié dans les versions jusqu’à 2.8.4 incluse. L’exécution nécessite qu’un administrateur ouvre l’onglet de candidature concerné et clique sur le lien piégé.
JavaScriptWordPress
IdentifiantCVE-2026-112365
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-112365
Analyse technique
Le paramètre cover_letter souffre d’un assainissement insuffisant et d’un encodage de sortie inadéquat. Selon la source, l’analyse WHATWG de l’URL ramène le schéma encodé à javascript: lors du clic.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-30; aucune version corrective n’est indiquée dans les données fournies.
ImpactExécution de JavaScript dans le navigateur de l’administrateur après ouverture de l’onglet de candidature et clic sur le lien.
Versions affectéesToutes les versions jusqu’à 2.8.4 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
Publication2026-10-30T18:17:20.993Z
Mise à jour2026-10-30T19:18:09.123Z
Action recommandée
Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible; la version corrective n’est pas précisée dans la source fournie.
Sources
Priorisation DFS : P3 · 1 source(s).