Veille sécuritéCMS & e-commerce
P4Moyenne
WP Customer Area jusqu’à la version 8.4.0 incluse présente une XSS stockée via le paramètre display_name, accessible à des utilisateurs authentifiés ayant au moins le rôle abonné. Mettre à jour dès qu’un correctif est disponible et limiter les comptes pouvant modifier les profils concernés.
WordPress
IdentifiantCVE-2026-116551
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-116551
Analyse technique
La vulnérabilité résulte d’une validation insuffisante de display_name et d’un échappement insuffisant en sortie.
Impact, versions et correctif
Événement datéLa fiche NVD indique une première publication le 2026-11-06, dans la période retenue; il s’agit d’une vulnérabilité nouvellement publiée, et non d’une simple modification administrative.
ImpactUn utilisateur authentifié de niveau abonné ou supérieur peut injecter un script qui s’exécute dans le navigateur des visiteurs de pages affectées.
Versions affectéesToutes les versions jusqu’à 8.4.0 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
Publication2026-11-06T12:17:17.177Z
Mise à jour2026-11-06T15:17:11.300Z
Action recommandée
Mettre à jour WP Customer Area dès qu’un correctif est disponible et limiter les comptes authentifiés au strict nécessaire.
Sources
Priorisation DFS : P4 · 1 source(s).