XSS stockée dans le plugin WordPress Optimole

Veille sécuritéCMS & e-commerce

P3Élevée

Optimole présente une XSS stockée via le paramètre `comment`, exploitable sans authentification lorsque le plugin est connecté et que le remplacement d’images est activé. La charge est décodée à l’affichage après avoir échappé aux filtres de commentaires WordPress ; aucun correctif n’est indiqué dans la source.

IdentifiantCVE-2026-119070

GravitéÉlevée

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-119070

Analyse technique

Le décodeur propre à Optimole reconstitue les caractères de la charge au rendu ; la configuration connectée et le remplacement d’images sont des préconditions.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-11-07, dans la période demandée ; l’élément est retenu comme vulnérabilité publiée, et non sur la seule base de sa mise à jour.

ImpactExécution de scripts dans le navigateur des visiteurs de pages contenant le contenu affecté.

Versions affectéesToutes les versions jusqu’à 4.2.17 inclusivement.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.2

EPSS0,26% · percentile 17,6%

Publication2026-11-07T03:17:00.717Z

Mise à jour2026-11-07T18:17:14.097Z

Détection / vérification

Vérifier si Optimole est installé en version 4.2.17 ou antérieure, connecté au CDN et avec le remplacement d’images activé.

Action recommandée

Mettre à jour vers une version corrigée dès qu’elle est disponible ; si nécessaire, désactiver temporairement le remplacement d’images ou la connexion concernée.

Sources

NVD — CVE-2026-119070

Priorisation DFS : P3 · 1 source(s).