Veille sécuritéCMS & e-commerce
P3Élevée
ThirstyAffiliates est vulnérable à une XSS stockée via le paramètre « comment » dans les versions jusqu’à 3.12.1 incluses. L’exploitation décrite concerne les thèmes bloc et exige qu’un commentaire de l’attaquant ait été approuvé auparavant; ses commentaires ultérieurs forgés sont alors approuvés automatiquement et rendus publiquement.
WordPress
IdentifiantCVE-2026-119089
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-119089
Analyse technique
Dans les thèmes bloc, le contenu du bloc Comment Content passe par render_block et déclenche le transformateur du plugin; assainissement et échappement insuffisants du contenu concerné.
Impact, versions et correctif
Événement datéFiche NVD publiée le 2026-10-31T07:16:36.313Z, dans la période retenue; la mise à jour NVD du 2026-11-02 est postérieure et n’est pas retenue.
ImpactUn attaquant répondant aux conditions d’approbation et utilisant un thème bloc peut faire exécuter un script aux visiteurs des pages concernées.
Versions affectéesToutes les versions jusqu’à 3.12.1 incluses
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
EPSS0,24% · percentile 14,7%
Publication2026-10-31T07:16:36.313Z
Sources
Priorisation DFS : P3 · 1 source(s).