Veille sécuritéCMS & e-commerce
P4Moyenne
WP Data Access était vulnérable à une XSS stockée dans le libellé d’autocomplétion d’un formulaire simple, lorsque l’attaquant authentifié pouvait modifier une ligne de recherche via un formulaire ancien. Les versions jusqu’à 5.5.89 inclus sont concernées ; la source ne fournit pas de version corrigée.
WordPress
IdentifiantCVE-2026-118048
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-118048
Analyse technique
La valeur retournée par WPDA_Autocomplete::autocomplete_lookup() est insérée dans un attribut HTML entre apostrophes sans échappement suffisant.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-07, dans la période demandée.
ImpactUn attaquant autorisé à modifier une ligne de recherche peut injecter un script exécuté à l’affichage d’un enregistrement lié.
Versions affectéesVersions jusqu’à 5.5.89 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
EPSS0,19% · percentile 9,0%
Publication2026-11-07T09:17:02+02:00
Mise à jour2026-11-07T20:17:13+02:00
Action recommandée
Vérifier auprès de l’éditeur la disponibilité d’un correctif et mettre le plugin à jour dès qu’il est proposé.
Sources
Priorisation DFS : P4 · 1 source(s).