Veille sécuritéCMS & e-commerce
P4Moyenne
GeoDirectory jusqu’à la version 2.8.199 incluse présente une XSS stockée via la description des annonces, exploitable par un utilisateur authentifié disposant au minimum du rôle Subscriber. Le contenu injecté peut s’exécuter lorsqu’un utilisateur consulte une page contenant le popover concerné.
WordPress
IdentifiantCVE-2026-119113
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-119113
Analyse technique
L’assainissement des descriptions ne neutralise pas certaines valeurs data-*; la bibliothèque AyeCode UI les insère ensuite comme HTML sans assainissement.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-30T18:17:25.187Z, dans la période demandée.
ImpactUn script injecté dans la description d’une annonce peut s’exécuter dans le navigateur des utilisateurs qui consultent le contenu concerné.
Versions affectéesToutes les versions jusqu’à 2.8.199 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.4
Publication2026-10-30T18:17:25.187Z
Mise à jour2026-10-30T19:18:19.813Z
Action recommandée
Surveiller les mises à jour du plugin et appliquer une version corrigée dès qu’elle est disponible.
Sources
Priorisation DFS : P4 · 1 source(s).