XSS stockée dans WordPress Core via Quick Edit

Veille sécuritéCMS & e-commerce

P4Moyenne

Une vulnérabilité XSS stockée dans WordPress Core permet à un utilisateur authentifié ayant le rôle Contributor ou supérieur d’injecter du script via Quick Edit, qui peut s’exécuter lorsqu’un utilisateur privilégié visite les écrans d’administration concernés. Le problème concerne les sites comptant un grand nombre d’utilisateurs et les versions jusqu’à 7.0.2 incluse ; aucun correctif n’est indiqué dans les informations fournies.

IdentifiantCVE-2026-114570

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-114570

Analyse technique

Échappement insuffisant des noms d’affichage dans Quick Edit ; XSS stockée déclenchée lors de l’accès aux écrans d’administration affectés.

Impact, versions et correctif

Événement datéLa fiche NVD a été publiée le 2026-10-22 à 06:17:14Z, soit pendant la période demandée.

ImpactUn script injecté peut s’exécuter dans le navigateur d’un utilisateur privilégié consultant les écrans d’administration concernés.

Versions affectéesWordPress Core jusqu’à 7.0.2 incluse ; le problème ne concerne que les sites ayant un grand nombre d’utilisateurs.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS4.9

EPSS0,18% · percentile 7,2%

Publication2026-10-22T08:17:14.437+02:00

Mise à jour2026-10-22T21:17:37.417+02:00

Action recommandée

Surveiller la publication d’un correctif et limiter l’accès aux rôles Contributor et supérieurs ; vérifier les écrans d’administration sur les sites comptant de nombreux utilisateurs.

Sources

NVD — CVE-2026-114570

Priorisation DFS : P4 · 1 source(s).