Veille sécuritéCMS & e-commerce
P4Moyenne
Like Button Rating ♥ LikeBtn jusqu’à la version 2.6.64 incluse présente une XSS stockée via l’en-tête Client-IP, exploitable sans authentification sous certaines conditions. L’exploitation nécessite que l’option « Be GDPR compliant » soit désactivée et qu’un administrateur effectue une action déclenchant le contenu injecté.
WordPress
IdentifiantCVE-2026-116552
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-116552
Analyse technique
Le défaut est une insuffisance de validation des entrées et d’échappement des sorties pour la valeur HTTP_CLIENT_IP stockée.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-30T18:17:23.727Z, dans la période demandée.
ImpactUn script injecté peut être exécuté lors d’une action administrative, si les conditions de configuration sont réunies.
Versions affectéesToutes les versions jusqu’à 2.6.64 incluse.
ContournementL’option « Be GDPR compliant » activée par défaut neutralise le contenu en hachant les valeurs IP stockées, selon la fiche NVD.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.7
Publication2026-10-30T18:17:23.727Z
Mise à jour2026-10-30T18:33:26.087Z
Action recommandée
Conserver activée l’option « Be GDPR compliant » et surveiller la disponibilité d’une mise à jour corrigée.
Sources
Priorisation DFS : P4 · 1 source(s).