Veille sécuritéCMS & e-commerce
P4Moyenne
CVE-2026-115277 est une XSS réfléchie dans le plugin User Frontend, due à des valeurs fournies par l’utilisateur réinjectées dans des attributs HTML sans assainissement ni échappement suffisants. Les versions antérieures à 4.3.14 sont concernées ; selon la source, le point d’entrée AJAX est accessible aux requêtes anonymes et le script vise les visiteurs déconnectés.
WordPress
IdentifiantCVE-2026-115277
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif4.3.14
Source : NVD — CVE-2026-115277
Analyse technique
La réponse AJAX publique reflète des valeurs fournies par l’utilisateur dans des attributs HTML. L’action est protégée par un nonce anonyme qui ne valide que pour les requêtes provenant d’utilisateurs déconnectés.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-30, dans la période demandée ; la description caractérise une vulnérabilité XSS et son contexte d’exploitation.
ImpactExécution de scripts dans le navigateur des visiteurs déconnectés qui consultent le contenu déclenchant la réponse vulnérable.
Versions affectéesVersions antérieures à 4.3.14
Version corrigée4.3.14
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.7
EPSS0,16% · percentile 5,0%
Publication2026-10-30T06:16:45.857Z
Mise à jour2026-10-30T17:49:38.703Z
Action recommandée
Mettre à jour vers la version 4.3.14 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).