WP Data Access permettait une XSS stockée par le biais d’une valeur de colonne de type URL d’image, notamment une valeur issue de wp_usermeta.description. Les versions jusqu’à 5.5.89 inclus sont concernées ; l’exploitation décrite nécessite une configuration particulière de shortcode DataTables, et aucune version corrigée n’est précisée.
Source : NVD — CVE-2026-118204
Analyse technique
L’exposition requiert qu’un administrateur publie un shortcode DataTables sur une colonne contrôlée par l’attaquant et lui assigne le type média URL d’image ; ces réglages ne sont pas activés par défaut.
Impact, versions et correctif
Action recommandée
Éviter de publier des shortcodes DataTables configurés sur des colonnes contrôlables par des utilisateurs non fiables et appliquer un correctif dès sa disponibilité.
Sources
Priorisation DFS : P4 · 1 source(s).