Veille sécuritéCMS & e-commerce
P3Élevée
Le paramètre service_time du plugin Food Store peut permettre l’injection de scripts persistants par un attaquant non authentifié, en raison d’un filtrage et d’un échappement insuffisants. L’exploitation requiert que « Enable Pickup/Delivery Service » soit activé et que « Enable Checkout Service Fields » soit désactivé, une configuration non standard.
WordPress
IdentifiantCVE-2026-116622
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-116622
Analyse technique
XSS stockée via le paramètre service_time; les scripts injectés s’exécutent lors de l’affichage d’une page concernée.
Impact, versions et correctif
Événement datéLa fiche NVD indique une première publication le 2026-10-30, dans la période; l’item est retenu comme vulnérabilité publiée, et non sur la seule base de sa date de modification.
ImpactExécution de scripts dans le navigateur des utilisateurs consultant une page contenant la valeur injectée.
Versions affectéesToutes les versions jusqu’à 1.5.5 incluse
ContournementSi possible, activer « Enable Checkout Service Fields » ou désactiver « Enable Pickup/Delivery Service » jusqu’à l’installation d’un correctif.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
EPSS0,24% · percentile 15,3%
Publication2026-10-30T07:16:33.040Z
Mise à jour2026-10-30T17:17:15.350Z
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible; sinon, modifier la configuration pour satisfaire l’une des conditions d’atténuation indiquées.
Sources
Priorisation DFS : P3 · 1 source(s).