XSS stockée DOM dans All-in-One Video Gallery

Veille sécuritéCMS & e-commerce

P4Moyenne

All-in-One Video Gallery jusqu’à la version 5.0.0 incluse présente une XSS stockée DOM exploitable par un utilisateur authentifié disposant au moins du rôle abonné. Le chemin vulnérable nécessite que le lecteur soit configuré sur Plyr/Vidstack; mettre à jour dès qu’un correctif est disponible et éviter cette configuration dans l’intervalle.

IdentifiantCVE-2026-116545

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-116545

Analyse technique

La valeur custom_fields[].value.label associée à la clé track est rendue sans assainissement suffisant dans le chemin de modèle Plyr/Vidstack. Le lecteur Video.js par défaut n’est pas indiqué comme concerné par ce chemin.

Impact, versions et correctif

Événement datéLa fiche NVD indique une première publication le 2026-11-06, dans la période retenue; il s’agit d’une vulnérabilité nouvellement publiée, et non d’une simple modification administrative.

ImpactUn attaquant authentifié disposant d’un accès abonné ou supérieur peut injecter un script exécuté lors de l’affichage d’une page affectée.

Versions affectéesToutes les versions jusqu’à 5.0.0 incluse

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS6.4

Publication2026-11-06T12:17:17.000Z

Mise à jour2026-11-06T15:17:11.170Z

Action recommandée

Mettre à jour le plugin dès qu’un correctif est disponible; dans l’intervalle, éviter la configuration Plyr/Vidstack et limiter les comptes à faibles privilèges.

Sources

NVD — CVE-2026-116545

Priorisation DFS : P4 · 1 source(s).