Veille sécuritéCMS & e-commerce
P4Moyenne
GeoDirectory avant 2.8.196 n’assainit ni n’échappe correctement le lien d’un badge de publication avant de l’afficher dans une annonce. Un utilisateur ayant le rôle Contributeur ou supérieur peut injecter du JavaScript stocké qui s’exécute lorsque des utilisateurs privilégiés consultent l’annonce; mettre à jour vers la version 2.8.196 ou ultérieure.
WordPress
IdentifiantCVE-2026-113487
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif2.8.196
Source : NVD — CVE-2026-113487
Analyse technique
L’attaque peut viser notamment un administrateur examinant un contenu modéré.
Impact, versions et correctif
Événement datéPublication NVD indiquée le 2026-10-28T06:16:35.180Z, soit le 2026-10-28T08:16:35.180+02:00, dans la période demandée; le descriptif établit une XSS stockée et donne la version corrigée.
ImpactDu JavaScript injecté peut s’exécuter dans le navigateur d’utilisateurs privilégiés consultant une annonce.
Versions affectéesGeoDirectory versions antérieures à 2.8.196
Version corrigée2.8.196
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.8
EPSS0,17% · percentile 6,5%
Publication2026-10-28T08:16:35.180+02:00
Mise à jour2026-10-28T20:17:09.347+02:00
Action recommandée
Mettre à jour GeoDirectory vers la version 2.8.196 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).