Veille sécuritéCMS & e-commerce
P4Moyenne
GeoDirectory présente une XSS stockée via le paramètre `post_images` jusqu’à la version 2.8.197 incluse. Un utilisateur authentifié de niveau Abonné ou supérieur peut injecter du script qui s’exécute lorsqu’un éditeur ou un administrateur ouvre l’écran de modification d’une annonce en attente.
WordPress
IdentifiantCVE-2026-116752
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-116752
Analyse technique
Le défaut d’assainissement et d’échappement du paramètre permet l’injection persistante dans le contexte de la modération éditoriale.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-31 ; cette publication est l’événement retenu. La mise à jour du 2026-11-02 est postérieure à la période.
ImpactExécution de scripts dans le navigateur d’un éditeur ou administrateur ouvrant l’annonce concernée.
Versions affectéesToutes les versions jusqu’à 2.8.197 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,33% · percentile 26,0%
Publication2026-10-31T10:16:37.793Z
Mise à jour2026-11-02T16:19:19.997Z
Action recommandée
Mettre à jour vers une version corrigée lorsqu’elle est disponible et examiner les annonces en attente avant leur édition.
Sources
Priorisation DFS : P4 · 1 source(s).